Conceito e funcionamento
Cron e timers systemd executam rotinas periódicas, incluindo backups, manutenção e processamento de filas. Uma tarefa em diretório incomum pode ser legítima, mas scripts graváveis por usuários não privilegiados ou execução como root ampliam risco. Inventarie destino, periodicidade, permissões e relação com aplicações.
Como investigar e correlacionar
Inspecione crontabs conforme autorização, /etc/cron.* e timers com systemctl list-timers. Procure alterações recentes e logs de execução; compare comandos com versão da aplicação e gestão de mudanças. Não execute scripts desconhecidos para 'testar' sem isolamento.
Consulta ou exemplo orientativo
Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.
sudo ls -la /etc/cron.d /etc/cron.daily
systemctl list-timers --allESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Após manutenção de sistema, várias tarefas agendadas aparecem em /etc/cron.d e uma executa como root.
Procedimento orientado
Liste arquivos, permissões, scripts e dono de pacote; correlacione alterações com histórico de instalação e registros de execução.
Resultado esperado
O analista indica quais tarefas são esperadas, quais precisam de esclarecimento e quais controles de permissão devem ser auditados.
Cuidados adicionais
Nem todos os jobs são visíveis no crontab do usuário atual; um inventário parcial induz erro.
Limitações e interpretações incorretas
Tarefas podem ser instaladas por pacotes e não aparecer no crontab do usuário observado. Remover um job sem conhecer dependências pode interromper backup ou segurança. Timestamp de arquivo é indício, não prova de autoria.
Checklist de validação
- Listar agendamentos por origem
- Validar scripts e permissões
- Identificar execução privilegiada
- Correlacionar com mudanças
Referências técnicas
Guias para aprofundar
- investigacao comprometimento linux — aguardando publicação editorial