Conceito e funcionamento
systemd gerencia serviços e timers declarados por unidades de diversos tipos. Um processo iniciado automaticamente não é, sozinho, persistência adversária. Investigação deve distinguir arquivos do fornecedor, overrides em /etc e instalações locais, relacionando proprietário, histórico e alterações autorizadas.
Como investigar e correlacionar
Use systemctl list-unit-files, list-timers --all, status e cat para inspecionar definição efetiva. Compare ExecStart, usuário, permissões, caminhos e eventos do journal. Ao detectar algo desconhecido, busque pacote ou change request antes de desabilitar.
Consulta ou exemplo orientativo
Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.
systemctl list-unit-files --type=service
systemctl list-timers --all
systemctl cat sshd.serviceESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Um timer recém-criado executa programa em diretório não padronizado depois de reinício de servidor.
Procedimento orientado
Inspecione unit, overrides, ExecStart e usuário com systemctl cat e consulte o journal; compare com pacote e ticket de mudança.
Resultado esperado
O relatório descreve o mecanismo, privilégios, origem e hipótese de persistência, preservando evidências antes de alterar a unidade.
Cuidados adicionais
Desabilitar serviço legítimo de backup com base apenas no nome incomum pode gerar indisponibilidade.
Limitações e interpretações incorretas
Uma unidade pode existir sem estar habilitada, e pode ser iniciada por dependências ou ativadores. Alterações no sistema de arquivos durante investigação podem prejudicar cadeia de evidência; preserve primeiro.
Checklist de validação
- Enumerar timers e serviços
- Inspecionar ExecStart e drop-ins
- Relacionar usuário e pacote
- Validar data e autorização
Referências técnicas
Guias para aprofundar
- investigacao comprometimento linux — aguardando publicação editorial
- hardening linux oracle rhel9 — aguardando publicação editorial