LinTriage

Resumo técnico

lin-triage.sh é um script em Bash leve e altamente portátil para coleta de evidências forenses e indicadores de comprometimento (IOCs) em sistemas operacionais Linux corporativos. A ferramenta executa uma varredura de baseline em menos de 10 segundos, gerando um relatório estruturado em formato Markdown pronto para análise externa ou consumo em ferramentas de SOC/SIEM.

Objetivo de Segurança

Durante uma resposta a incidentes, as primeiras horas são críticas. A coleta de dados deve ser executada de maneira rápida e não destrutiva, preservando o estado dos arquivos e a memória do sistema operacional sem acionar rotinas pesadas de monitoramento local.

Arquitetura e Mapeamento Forense

O utilitário cobre cinco vetores cruciais de análise forense:

1. Mapeamento de Acessos e Privilégios: Varredura de usuários ativos, auditoria do arquivo /etc/passwd buscando IDs com nível 0 (root), identificação de chaves autorizadas SSH (authorized_keys) ativas e análise dos últimos logins registrados (last / lastb).
2. Triagem de Rede e Conexões: Levantamento de sockets TCP/UDP em estado de escuta associados com seus respectivos PIDs de processos em execução, além de conexões ativas estabelecidas com o exterior.
3. Persistência de Sistema: Varredura de tarefas agendadas em Cron jobs globais e diretórios locais de usuários para contenção de portas dos fundos (backdoors).
4. Integridade do File System: Busca automática por arquivos modificados recentemente (últimos 7 dias) em locais temporários e de execução comuns (/tmp, /var/tmp, /dev/shm) e em diretórios web de produção.
5. Varredura e Escaneamento de Logs: Varredura em tempo real em logs de segurança (auth.log, secure) em busca de tentativas persistentes de brute-force e comandos elevados com `sudo`.

Uso e Comandos Práticos

A ferramenta foi desenhada para rodar diretamente sem dependências de compilação ou instalação prévia:

# 1) Download direto e permissão de execução
curl -O https://perciocastelo.com.br/assets/downloads/lin-triage.sh
chmod +x lin-triage.sh

# 2) Executar triagem gerando relatório Markdown formatado
./lin-triage.sh

# 3) Execução inline segura diretamente via Curl
bash <(curl -fsSL https://perciocastelo.com.br/assets/downloads/lin-triage.sh)

Segurança Operacional

• Somente Leitura: A ferramenta não exclui nem higieniza arquivos automaticamente, operando sob baseline seguro.
• Segregação de privilégios: O script pode rodar como usuário comum, desativando automaticamente apenas os testes que requerem leitura restrita (ex.: tabelas do kernel e logs do shadow/auth).
• Ausência de Dependências: Desenvolvido em puro Bash usando comandos nativos POSIX.