Защита от Руткитов и Логклинеров

Xakep, номер #041, стр. 041-066-2

СПЕЦСОФТ

Если по каким-либо причинам твоя база контрольных сумм была повреждена/подменена или удалена, есть возможность воспользоваться специализированным софтом для выявления руткитов в системе.

CHECKROOTKIT

Это чудо принадлежит Nelson Murilo и Klaus Steding-Jessen. Распаковываем архив, жмем make. Несмотря на довольно смешной размер (23Кб), прога действительно убойная :).

Выявляет следующие руткиты: Solaris rootkit, FreeBSD rootkit, lrk3, lrk4, lrk5, lrk6, t0rn (и t0rn v8), некоторые lrk варианты, Ambient's Rootkit for Linux (ARK), Ramen Worm, rh[67]-shaper, RSHA, Romanian rootkit, RK17, Lion Worm, Adore Worm, LPD Worm, kenny-rk, Adore LKM, ShitC Worm, Omega Worm, Wormkit Worm, dsc-rootkit, RST.b, duarawkz, knark LKM, Monkit, Hidrootkit, Bobkit, Pizdakit. Особенно меня заинтересовал последний - Pizdakit. Не русского ли он производства? :)

Checkrootkit сканит карты на PROMISC mode, проверяет удаления записей lastlog, wtmp, wtmpx (точно не знаю, но, наверное, проверка идет на пустые байты в файлах), также пытается найти LKM трояны (модули для ядра). Если ты решил посканить свою систему, жми ./chkrootkit, а если ты решил порыться в ней поглубже - ./chkrootkit -h :).

Например, ты срочно решил проверить систему на левый login и ps:

#./chkrootkit login ps

ROOTDIR is '/'

Checking 'login'... not infected

Checking 'ps'... not infected

Или решил провериться на снифаки:

#./chkrootkit sniffer

ROOTDIR is '/'

Checking 'sniffer'...

eth0 is not promisc

Есть довольно большое количество подобных софтин, но на них останавливаться просто нет смысла... Идем дальше!

LOG CLEANERS

Так уж повелось, что логи - очень важная часть системы для хорошего админа. Они могут поведать тебе о различных событиях, происходящих в системе... В том числе и касающихся безопасности, что является бесценным для выявления и поимки хакера. SYSLOGD - это стандартный демон для Unix, посвященный целиком и полностью логированию. Я не собираюсь здесь описывать все его тонкости, для этого читай документацию, а остановлюсь лишь на некоторых особенностях. Иногда логи оформляют в нестандартные директории, чтобы запутать хакера, но это все фигня, самое интересное - то, что можно логи переправлять на отдельную, специально выделенную для этого машину! То есть, допустим, есть сеть из двух машин. [А] является сервером, который ты, собственно, взломал, а [B] - как раз логером. [A] пересылает все логи в real time машине [B]. [B] тем временем копирует все логи на SCSI диск или на зипер... Страшно :)? Хотя в Инете валяется несколько исходников, способных загаживать syslogd порт левыми сообщениями (например, SYSLOG Fogger от Pantez), это не выход. Хотя эта проблема отпадет, если использовать SPOOFING, но провернуть его в реальных условиях трудновато...

Теперь о технической стороне данного метода. В /etc/syslog.conf пропиши следующее:

*.* @hostname

Где hostname - имя твоего логер хоста. Теперь вся информация будет перенаправляться на 514 (syslogd) порт твоего хоста, но учти, что такой метод часто генерит немалый траффик.