ダウンロード痕跡調査 — .bash_history を読む
Plus会員限定入門約30分5レッスン
侵入者が打ったコマンドは .bash_history に残ります。履歴を全体読みし、wget のダウンロード痕跡を抽出し、末尾の隠蔽工作まで読み取る「履歴フォレンジック」の入門編です。
対象者: ファイルやログの点検に続き、「人の行動の痕跡」を読む調査を学びたい人。
前提知識: 「アクセスログの401分析」の修了。cat・grep・tail の基本操作。
この教材を終えると、できるようになること
- .bash_historyの仕組みと、調査における価値・限界を理解する。
- コマンド履歴を時系列の物語として読み、不審な行を指摘できるようになる。
- 履歴からダウンロードコマンドを抽出し、入手元URLと保存先を読み取れるようになる。
- 履歴の末尾から隠蔽行動（history -c）を発見し、その意味を説明できるようになる。
修了後の姿: 不審なログインや不要な公開ポートに自分で気づける「守りの目」が持てるようになります。
Chapter 1コマンド履歴から行動を復元する
履歴の全体読み→wget痕跡の抽出→末尾の隠蔽確認、の順で侵入者の行動を追います。
Chapter 2確認クイズ
履歴調査の理解度をチェックします。