Procesos desde rutas temporales

Las carpetas /tmp, /var/tmp y /dev/shm son de escritura abierta: cualquier cuenta, incluida la del servidor web, puede dejar ahí un archivo y ejecutarlo. Un servicio de producción bien desplegado no corre desde esas rutas, así que un proceso con binario ahí es una pista fuerte. Pero un instalador que descomprime sus archivos en /tmp mientras actualiza un paquete también aparece ahí, con la diferencia de que tiene un padre explicable y una solicitud de cambio.

De ahí el método: ruta temporal más tres comprobaciones —quién lo lanzó (padre), con qué cuenta corre y si figura entre lo aprobado—. Sin esas tres, la ruta es solo sospecha.

En el laboratorio, ps-arbol.txt muestra cada proceso con su padre. Hay un proceso de root en /tmp cuyo padre es el gestor de paquetes que está configurando una instalación, y otro que corre desde /dev/shm cuyo padre es un proceso del servidor web. El segundo es un caso clásico de una aplicación web que acabó lanzando un binario: el padre es lo que lo delata, porque el servidor web no tiene motivo para ejecutar nada propio desde memoria compartida.

Esto es lectura de evidencia: no se ejecuta ni se prueba nada, se compara el parentesco y se mira si la lista de aprobados lo respalda.

Ejecuta ps en la terminal del laboratorio. Recorre la columna del comando y fíjate en los que no empiezan por una ruta de programa del sistema. Hay tres que corren desde una ruta temporal; dos tienen una explicación y uno no. Identifica el que no la tiene por el identificador de su proceso.

Una caza útil también cierra lo que no es: el proceso de root en /tmp queda explicado. Abre binarios-aprobados.txt y busca la solicitud de cambio que aprueba esa ejecución. Anotarla en el registro de la caza evita que la misma observación vuelva a abrirse en la siguiente revisión.

El servidor tiene una regla de auditoría con la clave exec-temporal, que anota cada ejecución desde una ruta temporal. Cada evento lleva un número de serie al final de su marca de tiempo, y ese número es el que cita un informe cuando se refiere a un evento concreto sin copiar toda la línea. Las horas del extracto vienen ya convertidas para el ejercicio.