Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Часть II • Защитные операции с использованием bash
Сначала.мы,.чтобы.вывести.список.всех.файлов.в.корневом.каталоге,.используем.
команду.
find
.
/
.
-type
.
f
..Каждый.файл.прогоняется.через.команду.
ls
.
-s
,.которая.
определяет.его.размер.в.блоках.(не.в.байтах)..Затем.список.сортируется.по.убыва-
нию,.а.первые.пять.строк.отображаются.с.помощью.команды.
head
..Чтобы.увидеть.
самые.маленькие.файлы.в.системе,.вместо.
head
.можно.использовать.
tail
.или.
удалить.параметр.
-r
.из.сортировки.
В оболочке для представления последней выполненной команды вы можете 
добавить символы !!. Эти символы могут быть использованы для повторного 
выполнения команды или ее включения в конвейер команд. Предположим, что 
вы только что выполнили следующую команду:
find / -type f -exec ls -s '{}' \;
Затем, чтобы снова запустить ее или передать в конвейер, вы можете исполь-
зовать символы !!:
!! | sort -n -r | head -5
Оболочка автоматически заменит символы !! последней командой, которая была 
выполнена. Можете сами попробовать!
Чтобы.найти.самый.большой.файл,.не.задействуя.команду.
find
,.вы.можете.ис-
пользовать.команду.
ls
.напрямую,.что.более.эффективно..Для.выполнения.такого.
поиска.просто.добавьте.для.команды.
ls
.параметр.
-R
,.который.заставит.ее.рекур-
сивно.перечислять.файлы.в.указанном.каталоге:
ls / -R -s | sort -n -r | head -5
Поиск по времени
Вы.также.можете.выполнить.поиск.файлов.в.файловой.системе.по.такому.показа-
телю,.как.последнее.обращение.к.файлам.или.их.последнее.изменение..Такой.поиск.
может.быть.полезен.при.расследовании.инцидентов.и.для.выявления.последних.
действий.системы..Поиск.по.времени.может.также.пригодиться.для.анализа.вредо-
носных.программ..С.его.помощью.можно.идентифицировать.файлы,.которые.были.
доступны.или.изменены.во.время.выполнения.вредоносной.программы.
Для.поиска.в.каталоге.
/home
.и.подкаталогах.файлов,.измененных.менее.пяти.минут.
назад,.выполните.команду:
find /home -mmin -5
Для.поиска.файлов,.измененных.менее.24.часов.назад:
find /home -mtime -1

---