Xakep, номер #041, стр. 041-066-3, Защита от Руткитов и Логклинеров

Защита от Руткитов и Логклинеров

Xakep, номер #041, стр. 041-066-3

СПЕЦСОФТ

Естественно, хакеры всяческими методами стараются модифицировать, а в крайнем случае - удалить логи. Используют они для этого в основном лог-клинеры. Лог-клинеры основаны на очистке стандартных команд и файлов, например - last, w, /var/log/messages, /var/log/secure и т.д. Поэтому админы часто устанавливают дополнительные средства логирования. Подобных средств достаточно много, но рассказывать я о них не буду, т.к. потребуется целый спецвыпуск :), но ниже я дал ссылки на подобный софт для собственного ознакомления :).

НА ЗАКУСКУ - LOGCHECK by Craug H. Rowland

Основан на frequentcheck.sh. Эта прога создана для проверки стандартных логов на записи о безопасности и любой аномальной активности. Он чем-то напоминает COPS, только несколько в ином плане. Думаю, в некотором роде ее можно даже назвать IDS... Для проверки системы жми ./logcheck.sh, все найденное она пошлет тебе по почте (все тонкости ты настроишь в скрипте). База данных "опасных команд" (то есть при их нахождении тебе посылается уведомление) находится в logcheck.hacking, вот несколько строк из него:

"wiz"

"debug"

rlogind.*: Connection from .* on illegal port

kernel: Oversized packet received from

Если участились ложные тревоги, то следует добавить keywords в файл logcheck.violation.ignore или logcheck.ignore (в зависимости от обстоятельств, читай README).

Резюме

Как видишь, возможностей выявления троянского ПО очень много, и обойти их не так уж и просто... Меня особенно пугает установка дополнительных систем логирования. Да и что делать с прогами по выявлению руткитов? Конечно, можно говорить, что админы редко этим пользуются, что многие станции слабо защищены и т.д. Но, думаю, всем понятно, что это не отговорка и существует реальная возможность попадания на такую защищенную машину...

Полезные линки:

www.tripwire.org - Home Page Tripwire.

www.chkrootkit.org - Home Page CHKROOTKIT.

http:/www.gnu.org/software/xlogmaster/xlogmaster.html - XLOGMASTER

www.plugslot.com - несколько полезных софтин.

http://packetstormsecurity.nl/UNIX/loggers/ - много полезных утилит для логов и против них.

ПО для проверки контрольных сумм файлов:

http://packetstormsecurity.org/UNIX/IDS/tripwire-2.3.1-2.tar.gz - Tripwire (но лучше скачать с официального сайта)

http://packetstormsecurity.org/UNIX/IDS/aide-0.4.tar.gz - AIDE

http://packetstormsecurity.org/UNIX/IDS/integrit-1.05.03.tar.gz - Integrit

http://packetstormsecurity.org/UNIX/IDS/viperdb-0.9.3.tar.gz - ViperDB

http://packetstormsecurity.org/UNIX/IDS/riley-0.2.tar.gz - Riley