Am 12.10.2026 um 14:32:18 Uhr (UTC) akzeptierte der Ubuntu-Server ir-lab-ubuntu24 eine unerwartete Anmeldung für das Konto ops. Der Angreifer musste weder ein Programm modifizieren noch eine Verschlüsselung knacken, sofern ops bereits Zugriff auf Dateien hatte, die eigentlich nur socalyst oder root gehören sollten. Unsere Fragestellung aus Sicht der Verteidigung ist konkret: Welche Pfade im Dateisystem ermöglichen es einem Konto, Inhalte zu lesen, zu ändern oder auf Bereiche zuzugreifen, für die es keine Berechtigung hat?
Alle weiteren Beobachtungen basieren auf denselben Fakten des Falls. Das Konto des Analytikers lautet socalyst, das verdächtige Konto ist ops, und der Untersuchungszeitraum erstreckt sich vom 12.10.2026, 14:10:00 Uhr, bis 15:10:00 Uhr (UTC). Linux speichert den Servernamen in /etc/hostname, lokale Kontoinformationen in /etc/passwd, geschützte Passwort-Hashes in /etc/shadow sowie die Dateien der einzelnen Konten unter Pfaden wie /home/socalyst und /home/ops. Ein Pfad ist nicht bloß ein Speicherort; Eigentumsverhältnisse und Berechtigungen bestimmen, wer das Objekt an diesem Ort nutzen darf. Der betroffene Host und die relevanten Pfade zu den Beweisdaten definieren den Untersuchungsbereich:
Dieses Diagramm zeigt, dass Identitätsdatensätze, Host-Konfigurationen, Home-Verzeichnisse und Authentifizierungsnachweise in getrennten Pfaden abgelegt sind. Eine Feststellung bezüglich /home/ops beweist nicht automatisch, dass sich /etc/shadow geändert hat; daher verknüpfen wir jede Behauptung mit dem jeweiligen Artefakt, das sie stützt.
Die unerwartete Anmeldung als ops macht die Zugriffsrechte zum nächsten zu prüfenden Aspekt, da Linux den Zugriff bewertet, bevor ein Prozess eine Datei lesen oder ändern oder ein Verzeichnis betreten kann. Ein Benutzer ist ein Konto wie socalyst oder ops. Eine Gruppe ist eine benannte Zusammenstellung von Konten, die sich Zugriffsrechte teilen können – wie etwa die Gruppe shadow, die den Zugriff auf Passwort-Hash-Datensätze einschränkt.
Jedes Dateisystemobjekt besitzt einen Eigentümer, eine Gruppe und drei Sätze von Zugriffsrechten. Die Eigentümerrechte gelten für das Konto, dem das Objekt gehört; Gruppenrechte gelten für Mitglieder der zugewiesenen Gruppe; und die Rechte für „Andere“ gelten für alle übrigen Benutzer. Die Bits stehen für r (Lesen von Inhalten), w (Ändern von Inhalten) und x (Ausführen eines Programms oder Betreten eines Verzeichnisses). Im Fall von /home/ops steuert das Verzeichnisrecht x, ob ein anderes Konto den Pfad in dieses Verzeichnis durchlaufen kann.
Der Kontrast zwischen /etc/hostname und /etc/shadow macht die Sicherheitsentscheidung deutlich. Prozesse müssen den Hostnamen lesen können, weshalb /etc/hostname normalerweise für alle Konten lesbar ist, während nur privilegierte Systemkomponenten die Passwort-Hashes in /etc/shadow lesen sollten. Ein für alle beschreibbarer Zugriff (wobei der Satz für „Andere“ das w-Recht enthält) würde es jedem lokalen Konto ermöglichen, ein geschütztes Objekt zu verändern. Eine für alle lesbare /etc/shadow-Datei würde Passwort-Hashes für Offline-Rateangriffe preisgeben. Die erwarteten Strukturen der Pfade erleichtern das Erkennen verdächtiger Abweichungen:
Diese Tabelle zeigt, dass die Berechtigungseinstellungen vom Zweck des Pfades abhängen. Öffentlich lesbare Informationen zu Identität und Hostname können den normalen Systembetrieb unterstützen; Schreibzugriffe bleiben jedoch eingeschränkt, da geänderte Identitätsdatensätze oder Host-Einstellungen spätere Untersuchungen in die Irre führen könnten.
Regel für Berechtigungen Betrachten Sie einen Berechtigungsmodus als Beleg für einen zulässigen Zugriff, nicht als Beweis dafür, dass ein Zugriff tatsächlich stattgefunden hat. Um eine Aussage über eine durchgeführte Aktion zu untermauern, sind Protokolle und Zeitstempel erforderlich.
Da Berechtigungen eher den aktuellen Zugriff als die Absicht beschreiben, halten wir zunächst die beobachtbaren Fakten zu ir-lab-ubuntu24 fest. Die Befehle hostnamectl, id, ls -l, stat und readlink -f liefern Antworten auf verschiedene Fragen, ohne die untersuchten Dateien zu verändern. hostnamectl gibt die konfigurierte Host-Identität aus. id ops und id socalyst ermitteln die numerische Identität und die Gruppenzugehörigkeit der jeweiligen Konten. Diese numerischen Identitäten sind wichtig, da Linux Eigentumsverhältnisse als Benutzer- und Gruppen-IDs speichert, selbst wenn die Befehlsausgabe vertraute Namen anzeigt.
Für die Pfade /etc/hostname, /etc/passwd und /etc/shadow liefert ls -l eine kompakte Übersicht über Berechtigungsbits, Eigentümer, Gruppe, Größe und einen angezeigten Zeitstempel. stat liefert genauere Metadaten, einschließlich des numerischen Modus und des Änderungszeitpunkts. readlink -f löst einen Pfad zu seinem eigentlichen Ziel auf; dies verhindert, dass ein symbolischer Link – ein Dateisystemobjekt, das auf einen anderen Ort verweist – den tatsächlich untersuchten Speicherort verschleiert. Die folgende Sitzung protokolliert die Fakten des Falls, ohne zu behaupten, warum ein bestimmter Zeitstempel oder eine bestimmte Berechtigung existiert: