linux-tmp-files

Linuxシステムの/tmpディレクトリとそのサブディレクトリを探索し、すべてのファイルの一覧を照会します。フォレンジック分析時に一時ディレクトリに残された悪意のあるファイルや攻撃の痕跡を検出するために活用できます。

コマンドプロパティ

項目説明
コマンドタイプドライバークエリ
必要な権限管理者
ライセンス使用量ライセンス集計コマンド
並列実行非対応
分散実行データノードで実行（mapper）

構文

linux-tmp-files

出力フィールド

フィールドタイプ説明
file_path文字列ファイルの絶対パス
file_name文字列ファイル名
file_type文字列ファイル種別。file: 通常ファイル、directory: ディレクトリ
permissions文字列POSIXファイルパーミッション文字列（例: rwxr-xr-x）。読み取れない場合はnull
file_size64ビット整数ファイルサイズ（バイト）
file_ctime日時ファイル作成時刻
file_mtime日時ファイルの最終更新時刻
file_atime日時ファイルの最終アクセス時刻
owner_readブール値所有者の読み取り権限
owner_writeブール値所有者の書き込み権限
owner_executeブール値所有者の実行権限
group_readブール値グループの読み取り権限
group_writeブール値グループの書き込み権限
group_executeブール値グループの実行権限
others_readブール値その他のユーザーの読み取り権限
others_writeブール値その他のユーザーの書き込み権限
others_executeブール値その他のユーザーの実行権限

エラーコード

パースエラー
エラーコードメッセージ説明
95040no-read-permission管理者権限なしで実行した場合
ランタイムエラー

該当なし

説明

linux-tmp-filesコマンドは/tmpディレクトリを再帰的に探索してすべてのファイルのメタデータを収集します。各ファイルについてファイルパス、サイズ、時刻情報、POSIXファイルパーミションなどの情報を出力フィールドに割り当てます。

シンボリックリンクをたどってファイル属性を読み取ります。ファイルへのアクセスに失敗した場合（権限不足など）はそのファイルをスキップして探索を続けます。

このコマンドには管理者権限が必要です。権限がない場合はパース段階でエラーが発生します。

使用例

  1. 一時ディレクトリのファイル一覧を照会する

    linux-tmp-files

    /tmpディレクトリのすべてのファイル一覧を照会します。

  2. サイズの大きい一時ファイルを照会する

    linux-tmp-files
| search file_type == "file"
| sort -file_size
| limit 20

    /tmpディレクトリから通常ファイルのみをフィルタリングし、サイズの降順で並べ替えて上位20件を照会します。

  3. 一時ディレクトリの実行ファイルを検出する

    linux-tmp-files
| search file_type == "file" and owner_execute == true

    /tmpディレクトリで実行権限が付与されたファイルを照会します。一時ディレクトリに実行ファイルが存在することはセキュリティインシデントの兆候である可能性があります。