Bash History Forensics

Définition

Le fichier .bash_history contient l'historique des commandes shell exécutées par un utilisateur dans bash. Malgré ses limites (facilement effaçable, désactivable, incomplet), il reste une source forensique précieuse qui peut révéler des actions malveillantes, des tentatives d'intrusion, ou des commandes administratives suspectes. Bash enregistre par défaut les commandes dans le fichier ~/.bash_history à la fermeture de la session. La variable HISTFILESIZE détermine le nombre maximum de commandes conservées (par défaut 2000 sur la plupart des distributions). La variable HISTCONTROL peut être configurée pour ne pas enregistrer les doublons (ignoredups) ou les commandes commençant par un espace (ignorespace), permettant à un utilisateur averti d'éviter l'enregistrement de commandes sensibles en les préfixant d'un espace. Les attaquants connaissent ces mécanismes et les exploitent : 'unset HISTFILE' désactive l'enregistrement, 'history -c' efface l'historique en mémoire, 'rm ~/.bash_history' supprime le fichier, ou 'export HISTSIZE=0' désactive l'historique pour la session. Ces actions de suppression sont elles-mêmes forensiquement révélatrices si d'autres artefacts les tracent (par exemple, les commandes SSH journalisées avant la suppression). Des configurations de sécurité renforcées permettent d'améliorer la valeur forensique de l'historique bash : HISTTIMEFORMAT='%F %T ' ajoute des timestamps à chaque commande, PROMPT_COMMAND='history -a' force l'écriture immédiate après chaque commande (au lieu d'attendre la fermeture de session), et HISTAPPEND=true accumule l'historique de plusieurs sessions parallèles. Pour une investigation forensique complète, au-delà de .bash_history, examiner également : les fichiers .zsh_history, .fish_history ou équivalents selon le shell utilisé ; les logs auditd (si configuré) qui journalisent les appels système et peuvent reconstituer l'activité shell même sans historique ; les logs syslog des connexions SSH (montrant quand une session a été ouverte) ; et les sorties de commandes dans les fichiers temporaires /tmp.