Descargar como ODP, PPTX
![Lorenzo Martínez - Linux DFIR: My Way! [rooted2019]](https://cdn.slidesharecdn.com/ss_thumbnails/dfirlinuxmyway-190403203413-thumbnail.jpg?width=640&height=640&fit=bounds)
![Yago Jesus & David Reguera - Deteccion de intrusos en UNIX [rootedvlc2019]](https://cdn.slidesharecdn.com/ss_thumbnails/yagojesus-davidreguera-detecciondeintrusosenunix-rootedvlc2019-190918140740-thumbnail.jpg?width=640&height=640&fit=bounds)
![Elias Grande - Dagda [rootedvlc4]](https://cdn.slidesharecdn.com/ss_thumbnails/02-eliasgrande-dagda-170920145129-thumbnail.jpg?width=640&height=640&fit=bounds)
![David Reguera & Yago Jesus - Rootkit Busters ES [rooted2019]](https://cdn.slidesharecdn.com/ss_thumbnails/rootkitbusters1-190403185959-thumbnail.jpg?width=640&height=640&fit=bounds)
Sysdig
- 1. Alejandro E. BritoMonedero @ae_bm http://cache2.asset-cache.net/xd/495435144.jpg sysdig cavando la tumba de los bugs
- 2. Advertencias Ronin Parental Advisory - Puedecontener trazas de comentarios políticamente incorrectos - Metáforas impactantes En caso de emergencia
- 3. Advertencias Ronin Parental Advisory - Puedecontener trazas de comentarios políticamente incorrectos - Metáforas impactantes En caso de emergencia http://science-all.com/image.php?pic=/images/wallpapers/cute-dog/cute-dog-13.jpg
- 4. Esquema Problema Herramientas Sysdig Ejemplos I want toplay a game Amistad o lo que surja
- 5. El problema Buenas practicasde software operable Software que siempre funciona Contenedores Serverless
- 6. El problema Buenas practicasde software operable Software que siempre funciona Contenedores Serverless → NoOps
- 7. El problema Buenas practicasde software operable Software que siempre funciona Contenedores Serverless → NoOps → NoDev
- 8. El problema Buenas practicasde software operable Software que siempre funciona Contenedores Serverless → NoOps → NoDev → NoHope
- 9.
- 10. strace Sólo sirve paraver lo que pasa al nivel de llamas al sistema Buena suerte cuando no sabes que proceso esta funcionando mal Es divertido de usar con procesos con workers o multihilo
- 11. strace Los procesos puedenno ser traceables Un farmacéutico comentará que puede afectar el performance del proceso y hasta causar la muerte Una usabilidad …
- 12. strace Cambios de contextoeverywhere
- 13. Wireshark Sólo se puedeanalizar tráfico de red Capacidad de filtrado poderosa y capacidad de decodificar protocolos Puede ser imposible relacionar el proceso y su tráfico de red
- 14. Wireshark Puede sobrecargar lamaquina No lo ejecutas ni lo tienes instalado en los servidores
- 15. Dtrace, eBPF yamigos Más poder que todo el arsenal del mundo No esta limitado a llamadas al sistema, se puede ver todo*, desde user space a el propio SO Curva de aprendizaje pronunciada
- 16. Dtrace, eBPF yamigos Puede requerir un kernel reciente Puede generar kernel panics Hay que SABER de esos internals del SO que seguro domina tu amigo fullstack
- 17. Servicio público Recomiendo ponerleun altar y rezarle todos los días al despertar y en las noches antes de dormir. En dirección hacia Australia (en las mañanas) y hacia Los Gatos California EEUU (en las noches) http://www.brendangregg.com/Images/brendan_2016b.jpg http://www.brendangregg.com/
- 18. Servicio público Querido Brendanque estás en Netflix famoso por gritarle a los arreglos de discos cuando sea grande quiero tener tu intelecto tu jornada por Sun, el infierno y joyent la admiro gracias por las metodologías, el ZFS L2ARC y los flame graphs Por un mundo sin bugs!
- 19. Sysdig Las revistas delcorazón lo definirían como el hijo entre strace y wireshark La herramienta “definitiva” para hacer troubleshooting del sistema y procesos Sirve para hacer troubleshooting del sistema, análisis y exploración
- 20. Sysdig Compila un modulopara el kernel, ergo necesitas los headers del kernel que este corriendo Puede capturar, filtrar y decodificar llamadas al sistema y otros eventos del SO Container aware
- 21. Sysdig Tiene menos overheadque strace Permite hacer inspecciones en vivo o generar capturas para ser analizadas posteriormente Su lenguaje de filtrado es potente, se puede personalizar su salida y además puede ser extendido con scripts en Lua, llamados chisels. Chisels son <3
- 22.
- 23.
- 24. Contenedores - Docker dockerrun -i -t --name sysdig --privileged -v /var/run/docker.sock:/host/var/run/docker.sock -v /dev:/host/dev -v /proc:/host/proc:ro -v /boot:/host/boot:ro -v /lib/modules:/host/lib/modules:ro -v /usr:/host/usr:ro sysdig/sysdig http://www.sysdig.org/install/
- 25. Diseccionando la salidade sysdig sysdig -pc | head -n 3 14 11:23:42.532495201 7 host (host) hipchat.bin (2866:2866) > poll fds=3:u5 timeout=4294967295 15 11:23:42.532497738 7 host (host) hipchat.bin (2866:2866) < poll res=1 fds=3:u4 http://www.sysdig.org/install/
- 26.
- 27. Ejemplos Guardar para analizardespues las llamadas a open sysdig -w captura.scap evt.type=open Las 10 llamadas al sistema más lentas sysdig -c bottlenecks "evt.latency > 0"
- 28. Ejemplos Ver lo quehace cron con sus fds sysdig -c echo_fds disable_color proc.name=cron Ver que procesos abrieron ficheros sysdig -r captura.scap -p "%proc.name" | sort | uniq
- 29. Ejemplos Crear una capturarefinada sysdig -r captura.scap -w captura_comando.scap “proc.name = comando” P0rn0 sysdig -c spectrogram sysdig -c subsecoffset
- 30. Ejemplos Champu de aromade hierbas* csysdig * https://www.youtube.com/watch?v=9FymrwnJngI
- 31. Ayuda sysdig Internet http://www.sysdig.org/wiki/ https://sysdig.com/blog/linux- troubleshooting-cheatsheet/ Ver losfiltros disponibles sysdig -l
- 32. Ayuda sysdig Ver loschisels que trae sysdig -cl Ver los eventos soportados sysdig -L Info de un chisel sysdig -i <chisel>
- 33. I want toplay a game http://i.giphy.com/vP4ci3sz5YZHi.gif
- 34. ¿Por qué muereel daemon? docker run --name ej1 -d aebm/ej1:v1 docker ps -a | grep ej1 docker start ej1
- 35. ¿Por qué muereel daemon? sysdig -pc "container.name=ej1 and evt.failed=true"
- 36. Saber donde seescribe el log FATAL docker run --name ej2 -v /tmp/ej2:/data/ -d aebm/ej2:v1
- 37. Saber donde seescribe el log FATAL sysdig -p "%fd.name" "container.name=ej2 and evt.type=write and evt.buffer contains FATAL"
- 38. ¿Qué gato sepide por http a procatinator? docker run --name ej3 --rm aebm/ej3:v1
- 39. ¿Qué gato sepide por http a procatinator? sysdig -A -c echo_fds "container.name=ej3 and fd.port=80 and evt.buffer contains procatinator"
- 40. Amistad o loque surja Esto es para que preguntéis. No os hagáis falsas esperanzas https://s-media-cache-ak0.pinimg.com/736x/d4/21/e7/d421e7f55fa2633026eb8ffc8280d9b9.jpg
- 41. Agradecimientos Liferay por elsitio 8KData por las pizzas Madrid DevOps por coger esta charla como clausura (hasta Septiembre)