Procesos y red en el núcleo

Cada evento de ejecución trae el identificador del proceso (pid) y el de su padre (ppid). Con ellos se arma el árbol: el que lanza a quién. Un servidor web que lanza un intérprete de órdenes es una cadena poco habitual, porque un servidor web normal atiende peticiones y rara vez ejecuta programas de sistema. El padre de un proceso puede no aparecer en los eventos si lleva horas en marcha: para encontrarlo se mira la tabla de procesos de larga vida.

En eventos_de_auditoria, localiza el intérprete de órdenes /bin/sh de las 10:02 y su ppid. Después busca ese número en procesos_del_servidor.

La llamada connect deja un registro con el proceso, la cuenta y la dirección de destino con su puerto, además de si la llamada terminó bien. Es el dato para saber a qué servidor externo llegó un proceso. Lo que no incluye: lo que se dijo en la conexión ni lo que se recibió.

El valor 4294967295 en auid significa que la sesión no tiene una cuenta de inicio de sesión asignada: es lo normal en los procesos de servicio, como las tareas programadas o el servidor web. Eso hace que auid no sirva para atribuir esos eventos a una persona y que uid y el árbol de procesos pasen a ser la pista.

Cuenta los eventos de tipo execve cuyo auid es 4294967295. Son los que una regla de detección debe tratar con otro criterio que los de una sesión de persona.

El analista anota la conexión de curl y escribe en su informe que el servidor web descargó un archivo malicioso desde el destino. Mira lo que tiene: el programa, la cuenta, el destino, el puerto y el resultado.

Para detectar la cadena de la tarea 1 se propone una regla: avisar cuando el proceso padre sea el servidor web o su gestor de procesos y el programa lanzado sea un intérprete de órdenes. Con lo que viste, hay un riesgo de ruido: algunas aplicaciones web lanzan programas de sistema por diseño, como cuando un panel de administración ejecuta una orden de mantenimiento.