Netstat SS Linux Forensics

Définition

L'analyse des connexions réseau actives via netstat et ss est une étape initiale essentielle de l'investigation forensique sur un système Linux live. Ces outils affichent les connexions TCP/UDP établies, les ports en écoute, et les processus associés, révélant les communications C2 actives, les backdoors réseau, et les services non autorisés. netstat (net-tools, historique) est disponible sur quasiment toutes les distributions Linux, mais est en cours de dépréciation au profit de ss (socket statistics, iproute2). Les deux outils lisent les informations depuis /proc/net/ (tcp, tcp6, udp, udp6, unix) et /proc/net/socket_list. La commande netstat -tulpn (ou ss -tulpn pour l'équivalent moderne) liste tous les sockets TCP/UDP en écoute avec les PIDs des processus propriétaires. netstat -anp (ou ss -anp) liste toutes les connexions actives (établies et en écoute) avec les PIDs. Les indicateurs forensiques dans la sortie netstat/ss incluent : des processus inconnus avec des connexions établies vers des IPs externes (C2), des ports en écoute inhabituels sur des processus système (sshd sur un port non standard = backdoor SSH), des connexions en ESTABLISHED vers des IPs avec des ASN ou géographies inhabituelles, et des processus avec des noms similaires aux processus légitimes mais différents (python3 vs python ou [kworker] vs kworker — un processus userspace qui imite un thread noyau est très suspect). La corrélation netstat avec /proc est précieuse : netstat -anp révèle le PID de chaque connexion, puis /proc/[PID]/exe donne le chemin du binaire, /proc/[PID]/cmdline la ligne de commande complète, et /proc/[PID]/maps les bibliothèques chargées. Cette chaîne permet d'identifier complètement un processus avec une connexion réseau suspecte. Les rootkits peuvent hooker les fonctions d'affichage réseau pour masquer leurs connexions à netstat/ss, mais leurs connexions resteront visibles dans /proc/net/tcp directement ou via les outils qui lisent le noyau plus bas niveau.