# AN0765 — Analytic 0765 ## Descrição Esta analítica detecta persistência em Linux correlacionando criação ou modificação de arquivos de serviço systemd ou scripts /etc/init.d com comportamento anômalo de processos durante o boot do sistema. A telemetria inclui auditd com monitoramento de modificações em /etc/systemd/system/, /lib/systemd/system/ e /etc/init.d/, bem como logs do journald para atividade de serviços na inicialização. A detecção é relevante porque serviços systemd são um mecanismo de persistência popular em Linux por oferecer execução automática com privilégios configuráveis e difícil visibilidade para administradores sem monitoramento dedicado. **Plataformas:** Linux ## Técnicas Relacionadas - [[t1543-create-or-modify-system-process|T1543 — Create or Modify System Process]] - [[t1547-boot-or-logon-autostart-execution|T1547 — Boot or Logon Autostart Execution]] - [[t1059-command-and-scripting-interpreter|T1059 — Command and Scripting Interpreter]] - [[t1569-system-services|T1569 — System Services]] --- *Fonte: [MITRE ATT&CK — AN0765](https://attack.mitre.org/detectionstrategies/DET0274#AN0765)*