Skrypt automatyzujący procedurę zabezpieczania danych¶

Skrypt wykonuje wszystkie kroki opisane w procedurze Zabezpieczenie danych z działającego systemu Linux i zapisuje artefakty na podmontowanym nośniku zewnętrznym, a następnie pakuje je do pojedynczego archiwum. Dodatkowe funkcje skryptu:

• sprawdza uprawnienia root oraz poprawność punktu montowania nośnika,
• weryfikuje dostępne miejsce na nośniku i dobiera zakres zabezpieczania /var/log (cały katalog lub tylko pliki z poziomu /var/log/*),
• zabezpiecza pliki konfiguracyjne powłok użytkowników (.bash_profile, .bashrc, .cshrc, .tcshrc, config.fish),
• oblicza sumy kontrolne SHA-256 wszystkich zebranych plików,
• pakuje wszystkie artefakty (wraz z logami i sumami kontrolnymi) do archiwum ${HOSTNAME}_zabezpieczenie.tar.gz i pozostawia na nośniku tylko to archiwum,
• bezpiecznie odmontowuje nośnik po zakończeniu.

Skrypt¶

Skrypt działa pod dowolną powłoką POSIX-sh (dash, ash/busybox, ksh, zsh, bash) i nie wymaga obecności powłoki bash w systemie.

Pobierz zabezpieczenie-posix.sh

Wymagania wstępne¶

Przed uruchomieniem skryptu należy:

1. Przygotować czysty nośnik zewnętrzny na zaufanym urządzeniu, zgodnie z instrukcją Przygotowanie nośnika.
2. Podłączyć nośnik do badanego urządzenia i podmontować go w wybranym katalogu, np. /mnt/nosnik.
3. Skopiować skrypt na nośnik zewnętrzny.

Skrypt weryfikuje, czy podany argument jest punktem montowania, oraz czy użytkownik ma do niego uprawnienia do zapisu. Wymaga uprawnień root.

Weryfikacja skryptu¶

Przed pierwszym użyciem należy zweryfikować sumę kontrolną pobranego pliku z wartością referencyjną opublikowaną w bieżącej wersji artykułu. Służy do tego polecenie sha256sum:

sha256sum zabezpieczenie-posix.sh

Oczekiwana suma kontrolna dla aktualnej wersji skryptu:

Uruchomienie skryptu¶

Skrypt przyjmuje jeden obowiązkowy argument, jest nim punkt montowania nośnika zewnętrznego, na którym zapisane zostaną artefakty.

sudo sh zabezpieczenie-posix.sh /mnt/nosnik

Pomoc skryptu wyświetla się poleceniem:

sh zabezpieczenie-posix.sh --help

Użycie: sudo sh zabezpieczenie-posix.sh <punkt_montowania_nosnika>

Skrypt wykonuje procedurę zabezpieczania danych z działającego systemu Linux,
zapisuje artefakty na podmontowanym nośniku zewnętrznym, a na koniec pakuje je
do archiwum <hostname>_zabezpieczenie.tar.gz (na nośniku pozostaje tylko archiwum).

Kroki wykonywane przez skrypt¶

Skrypt realizuje następujące kroki w jednej sesji, w stałej kolejności. Każdy krok zapisuje znacznik czasu rozpoczęcia i zakończenia do logu błędów (error.log), co ułatwia późniejszą analizę przebiegu działania skryptu.

1. Procesy i usługi – ps axjfww, systemctl list-units, pstree -p.
2. Sieć – ss/netstat/lsof (pierwszy dostępny), ip neigh, ip addr/ifconfig, iptables-save, ip6tables-save, nft list ruleset, ufw status verbose, firewall-cmd --list-all-zones, ip route, ip -6 route, ip rule, ip -6 rule.
3. Podstawowe informacje o urządzeniu – timedatectl, hostnamectl, uname -a, systemd-detect-virt, /etc/timezone, /etc/os-release, lsblk.
4. Konta i grupy – kopie /etc/passwd, /etc/group, /etc/sudoers oraz /etc/sudoers.d.
5. Historia logowań – last -aF.
6. Klucze SSH – authorized_keys i known_hosts z /root i /home (find z maxdepth 3).
7. Zadania cykliczne – crontab -l dla każdego użytkownika, archiwum tar katalogów /etc/cron.* oraz /var/spool/cron, systemctl list-timers, systemctl list-unit-files --state=enabled.
8. Historia poleceń – pliki historii powłok użytkowników (.bash_history, .zsh_history, .sh_history, .history, .tcsh_history, historia fish).
9. Pliki konfiguracyjne powłoki – .bash_profile, .bashrc, .cshrc, .tcshrc, .config/fish/config.fish w katalogach domowych użytkowników.
10. Dziennik systemowy journald – journalctl --merge --all --output export oraz journalctl --merge --all --output json.
11. Listing plików – find /root /home /var /tmp -printf (metadane plików w katalogach /root, /home, /var oraz /tmp).
12. Dzienniki zdarzeń /var/log – archiwum tar z zachowaniem atrybutów rozszerzonych. Przed wykonaniem procedury skrypt weryfikuje dostępne miejsce na nośniku (df) i porównuje je z rozmiarem /var/log (du). Jeżeli cały katalog zmieści się na nośniku, zabezpieczany jest rekursywnie cały /var/log; w przeciwnym razie zabezpieczane są tylko pliki z poziomu /var/log/* (bez podkatalogów).
13. Sumy kontrolne SHA-256 – sha256sum wszystkich plików na nośniku.
14. Archiwizacja artefaktów – tar wszystkich zebranych plików (wraz z session.log, error.log i sumami kontrolnymi) do archiwum ${HOSTNAME}_zabezpieczenie.tar.gz na nośniku, a następnie usunięcie pojedynczych plików – na nośniku pozostaje tylko archiwum.
15. Odmontowanie nośnika – sync, umount.

Opis każdego kroku wraz z uzasadnieniem znaczenia artefaktów w analizie powłamaniowej znajduje się w procedurze ręcznej oraz w opisach artefaktów.

Pliki wyjściowe¶

Po poprawnym zakończeniu działania skryptu na nośniku pozostaje wyłącznie archiwum ${HOSTNAME}_zabezpieczenie.tar.gz zawierające wszystkie poniższe artefakty (wraz z session.log, error.log i sumami kontrolnymi):

${HOSTNAME} to nazwa badanego hosta, ${TS} – znacznik czasu w formacie YYYYmmddTHHMMSS-UTC, ${USER} – nazwa właściciela pliku. Po zakończeniu skryptu wszystkie powyższe pliki (poza archiwum) zostają usunięte z nośnika – jedynym pozostawionym plikiem jest ${HOSTNAME}_zabezpieczenie.tar.gz.

Zapis przebiegu działania skryptu¶

Skrypt tworzy dwa osobne dzienniki zdarzeń na nośniku:

• session.log – rejestr przebiegu zabezpieczania.
• error.log – komunikaty błędów i ostrzeżeń.

Oba dzienniki stają się częścią archiwum ${HOSTNAME}_zabezpieczenie.tar.gz i po jego utworzeniu zostają usunięte z nośnika wraz z pozostałymi pojedynczymi plikami.

Ograniczenia i ostrzeżenia¶

Ostatnia aktualizacja artykułu: 2026-09-02.