1)Systeminformationen, IP, Datum, Uhrzeit, lokale Zeitzone, letzter Neustart - 'hostnamectl; who -b; uname -a; uptime; ifconfig; date; last reboot'

    1)Überprüfen eingehängter Dateisysteme -'df -h'
    2)Hash von ausführbaren Dateien (MD5) - 'find /usr/bin -type f -exec file "{}" \; | grep -i "elf" | cut -f1 -d: | xargs -I "{}" -n 1 md5sum {}'
    3)Geänderte Dateien - 'modified_files_period_select' (ruft eine Funktion in tuxresponse.sh auf)
    4)Alle versteckten Verzeichnisse auflisten - 'find / -type d -name "\.*"'
    5)Dateien/Verzeichnisse ohne Benutzer-/Gruppennamen - 'find / \( -nouser -o -nogroup \) -exec ls -l {} \; 2>/dev/null'
    6)Geänderte Dateien aus Paketen -'packaged_files_changed' (ruft eine Funktion in tuxresponse.sh auf)

      1) Auf Rootkits prüfen - führt 'chkrootkit' aus
      2) Yara-Scan - ruft eine Funktion in tuxresponse.sh 'yara_select' auf (durchsucht das System mit allen YARA-Linux-Regeln, die im Haupt-Repo verfügbar sind)
      3) EXIFTool - ruft eine Funktion in tuxresponse.sh 'exiftool_select' auf (installiert EXIFTool)

      1) Laufende Prozesse auflisten - 'ps -axu'
      2) Gelöschte Binärdateien, die noch laufen - 'ls -alR /proc/*/exe 2> /dev/null | grep deleted'
      3) Aktive Netzwerkverbindungen (TCP, UDP) - 'ss -tunap | sed "s/[ \t]\+/|/g"'
      4) Prozess-Dump basierend auf PID - 'dump_process_select' (ruft eine Funktion in tuxresponse.sh auf)
          1) PID zum Dump eingeben: **(Dies ist der ausgeführte Befehl - gcore -a -o "${DUMP_FILE}" ${DUMP_PID} )**
      5) Prozesse, die von /tmp, /dev ausgeführt werden - 'ls -alR /proc/*/cwd 2> /dev/null | grep -E "tmp|dev"'

      1) Alle aktiven Netzwerkverbindungen/Raw-Sockets auflisten - 'netstat -nalp; netstat -plant'
      

      1) Alle mit dem System verbundenen Benutzer auflisten - 'w' 
      2) Benutzer mit Passwörtern abrufen - 'getent passwd'

      1) Bash-Verlaufsdatei überprüfen - 'cat ~/.bash_history | nl'
      

      1) Alle Cron-Jobs auflisten - 'list_all_crontab' (ruft eine Funktion in tuxresponse.sh auf)
      2) Alle Start-/Boot-Programme auflisten - 'list_all_onstartup' (ruft eine Funktion in tuxresponse.sh auf)
   

      1) Benutzer-Bash-Verlauf sichern - 'cat_all_bash_history' (ruft eine Funktion in tuxresponse.sh auf)
      2) Logs mit binärem Inhalt finden -  'grep [[:cntrl:]] /var/log/*.log'

      Diese Option ermöglicht es Ihnen, eine Verbindung zu einem entfernten System herzustellen, alle Skripte und Tools zu kopieren und das System zu analysieren.
      

      Diese Option ermöglicht es Ihnen, LiME aus dem Quellcode zu kompilieren und den RAM-Speicher des Systems zu sichern. Dies ist der einfachste Weg, da der umgekehrte Weg darin bestünde, für alle wichtigen Kernelversionen aus dem Quellcode zu kompilieren und das LKM einzufügen.

That option enables you to do a full disk image of the target system using well-known tool - dd. The function is taking source and destination as parameters and inserts them in the following command 'dd if=${IMAGE_IN} | pv | dd of='${IMAGE_OUT}' bs=4K conv=noerror,sync'. If you're investigating remote system, the script is going to copy itself there. Then if the parameter ${TARGET_HOST} is set, then the script is going to download the image to analyst system using this command >> "ssh -p${TARGET_PORT} ${TARGET_USER}@${TARGET_HOST} 'dd if=${IMAGE_IN} bs=4K conv=noerror,sync' | pv | dd of='${IMAGE_OUT}'" (im heavily using pv to make sure progress is tracked)

      Installiert Binärdateien, die für die korrekte Funktion des Skripts erforderlich sind.
      1) Abhängigkeiten
      2) Yara und Regeln
      3) ExifTool
      4) Init-Prüfung
      5) chckrootkit
      6) LiME