IDS под микроскопом

Докучаев Дмитрий aka Forb

Хакер, номер #073, стр. 073-048-5

4. Советы администратору

После установки IDS рекомендуется удалить все текстовые файлы с текущей политикой. Этим действием ты запудришь мозги хакеру, который выдаст себя с потрохами после попытки обхода tripwire. Также можно переименовать /usr/bin/tripwire и запускать его кроном. При таком раскладе взломщик не сразу заметит наличие IDS, соответственно, у администратора будет больше времени для радикальных мер :).

Скажи руткитам «нет»!

Вслед за функциональным tripwire хочу познакомить тебя с проектом chkrootkit. Эта IDS служит для обнаружения руткитов на *nix-like-системах.

1. Установка

Сливай добро по адресу http://freshmeat.net/redir/chkrootkit/20715/url_tgz/chkrootkit.tar.gz и компилируй проект. Несмотря на наличие сишных утилит, сам chkrootkit написан полностью на bash. После выполнения make install все программы IDS расположатся в каталоге /usr/local/sbin.

2. Возможности

Если запустить chkrootkit без параметров, твоему взору предстанет большой отчет, включающий в себя проверку на многие известные руткиты, контроль скрытых процессов, тест на наличие активного снифера, обнаружение известных бэкдоров и анализ history-файлов. Все эти приемы выполняются за полминуты и при желании могут быть отосланы на e-mail.

3. Обход IDS

Я уже говорил, что chkrookit написан исключительно на bash. С одной стороны, это хорошо – скорость работы IDS очень высокая. Но с другой стороны, любой взломщик может подправить удобочитаемый код и исключить из него проверку протрояненных файлов. Я и сам это не раз делал, когда подменял /sbin/init на дырявых системах. И надо сказать, мой патч до сих пор эмулирует проверку init’а :).

4. Советы администратору

Пожалуй, единственным способом защиты от обхода может выступать запоминание размера chkrootkit. Запиши цифру куда-нибудь и постоянно контролируй размер. При желании можно даже написать скрипт, который снимает контрольную сумму с файла, а затем сравнивает его с эталонной.

Слежка за портами

И наконец, последний проект, который я опишу в этой статье, получил название openports. Эта программа относится к типу смешанных IDS, потому как ее задача – постоянный контроль открытых портов.

1. Установка

Скачивай проект по адресу www.darkman.de/security/openports/openports-0.2.tar.gz и запускай файл INSTALL, находящийся в архиве. Скрипт установит все файлы и предложит занести вызов openports.pl в кронтаб. По умолчанию контроль над портами осуществляется каждые пять минут. Этого времени вполне хватит, чтобы отловить какой-нибудь бэкдор и прочие сетевые вещи :).