مخفیگاه نامرئی در کرنل: چرا Keyring برای شکارچی‌ها مهم است؟


در هسته لینوکس، زیرسیستمی به‌نام Key Retention Service یا همان keyrings وجود دارد که هدف اصلی آن ذخیره امن کلیدها و داده‌های حساس در حافظه کرنل است. این ساختار، برخلاف فایل‌های معمولی، هرگز روی دیسک نوشته نمی‌شود و همین ویژگی آن را به عرصه‌ای جذاب برای مخفی‌کاری مهاجمان تبدیل می‌کند.
یک تهدیدگر می‌تواند Payload یا تنظیمات backdoor خود را به‌صورت رشته‌های رمزگذاری‌شده در keyring قرار دهد. این داده‌ها از دید ابزارهای مانیتورینگ فایل‌سیستم کاملاً شفاف هستند؛ حتی اگر از Snapshot یا Image کامل سیستم استفاده شود، اثری از آنها در دیسک یافت نمی‌شود. به بیان ساده، SOC شما ممکن است تمام هارد را بررسی کند و همچنان سرنخ اصلی را نبیند.
خطر بیشتر زمانی نمایان می‌شود که بدانیم این داده‌ها با راه‌اندازی مجدد سیستم به‌طور کامل حذف شده و در هیچ‌یک از لاگ‌های معمول /var/log ثبت نمی‌گردند. بنابراین، تنها روش کشف آن‌ها، انجام Live Memory Hunting یا تحلیل فایل Crash Dump است.
برای یک تحلیل‌گر یا شکارچی تهدید، تسلط بر شناسایی و ترکیب این شواهد در حافظه زنده، می‌تواند مرز بین یک نفوذ کشف‌شده و یک نفوذ کاملاً نامرئی را تعیین کند.



#آکادمی_روزبه
مرکز تخصصی CISSP