Qué guarda Linux y qué se pierde al apagar

Un servidor Linux guarda su historia en dos lugares con duración muy distinta. La memoria contiene los procesos en marcha, las conexiones de red abiertas, el estado del núcleo y todo sistema de archivos que viva solo en RAM. El disco contiene los archivos, los registros de texto de /var/log, los directorios de las cuentas y la base de datos de paquetes. Apagar o reiniciar vacía la primera capa y respeta la segunda.

Ya viste en el módulo 3 el orden de volatilidad: lo que antes se pierde se captura antes. Lo propio de Linux es que muchas piezas que parecen archivos corrientes viven en memoria. /proc no es un directorio de verdad, es una ventana al núcleo, y hay sistemas de archivos montados en RAM donde cualquier cosa que se escriba desaparece con el apagado.

La pregunta de un buen responsable no es «¿qué hay en el servidor?» sino «¿qué se pierde si lo reinicio ahora?».

Cada proceso en marcha tiene en /proc/PID/exe un enlace al ejecutable que lo arrancó. Si alguien borra ese archivo del disco mientras el proceso sigue vivo, el proceso no se detiene: el núcleo conserva el programa en memoria y el enlace muestra la ruta original seguida de (deleted). Ese marcador es una de las señales más claras de que algo se lanzó y se quiso esconder, porque ningún programa instalado normalmente se borra mientras corre.

Esta evidencia solo existe mientras el proceso vive. Una vez reiniciado el servidor, el programa desaparece con él. Por eso el triaje en vivo recoge la lista de procesos con su ejecutable antes de tocar nada más.

Abre proc-exe.txt, la salida ya recogida con el PID, la cuenta dueña y el destino del enlace de cada proceso.

Muchos servidores Linux guardan sus registros del sistema en el journal de systemd. Donde lo guarda depende de su configuración: si hay un directorio persistente en disco, el journal sobrevive a los reinicios; si la configuración es de almacenamiento volátil, el journal vive solo bajo /run, que está en memoria, y se vacía en cada arranque. Una máquina puede tener los registros de texto a salvo en disco y, a la vez, un journal que se evapora.

Para saberlo hay que leer la configuración y comprobar si existe el directorio persistente. Y hay que leerlo antes de decidir nada, porque una orden de «reiniciar para limpiar» destruye justo lo que más cuesta reconstruir.

Abre journald.txt y mira cómo guarda sus registros cds-tienda01.

Un sistema de archivos puede estar respaldado por el disco o por la memoria. Los de memoria parecen un directorio más, pero todo lo que contienen está en RAM, no llega al disco y desaparece al apagar. En un servidor hay varios montados por el propio sistema, y cuál es cuál se lee en la salida de mount: la palabra que sigue a type en cada línea nombra el tipo, y unos son de disco (como ext4) y otros de memoria.

Esto importa por dos razones. Un atacante que deja un binario en uno de ellos no deja nada que el disco conserve, así que ese rastro solo se recupera con el servidor encendido. Y quien investiga no debe buscar ese archivo en una imagen de disco: no estará.

Cruza proc-exe.txt con montajes.txt.