Wiki Ubuntu-it

Indice
Partecipa
FAQ
Wiki Blog
------------------
Ubuntu-it.org
Forum
Chiedi
Chat
Cerca
Planet
  • Pagina non alterabile
  • Informazioni
  • Allegati
  • Differenze per "Sicurezza/RootkitHunter"
Differenze tra le versioni 18 e 76 (in 58 versioni)
⇤ ← Versione 18 del 31/07/2008 09.04.59 →
Dimensione: 2734
Autore: Alberto
Commento:
← Versione 76 del 11/07/2017 20.59.20 → ⇥
Dimensione: 4247
Autore: andreas-xavier
Commento: Piccole correzioni
Le cancellazioni sono segnalate in questo modo. Le aggiunte sono segnalate in questo modo.
Linea 1: Linea 1:
[[Indice]]
[[VersioniSupportate(hardy)]]		 ## page was renamed from AlbertoTomaduz/Prove7
#format wiki
#language it
<<Indice>>
<<Informazioni(rilasci="17.04 16.04";)>>
Linea 5: Linea 8:
'''Rootkit''' è il programma ideale per ogni amministratore di sistema che desidera scoprire intrusi e codice maligno presenti nel proprio pc.
Linea 7: Linea 9:
Il software permette di analizzare il file system, sottoponendo alla scansione tutti i file presenti in esso (come ad es. shell e script) alla ricerca di '''backdoor''' e '''rootkit''' e non.

Le tecniche di scansione sono:
 * Verifica dei codici (has) MD5 .
 * Segnalazione di permessi errati.
 * Blocco di tutti i moduli del kernel pericolosi e scansione dì tutti i file eseguibili.		 '''Rootkit Hunter''' consente di analizzare il filesystem, sottoponendo alla scansione tutti i file presenti alla ricerca di applicazioni malevole.
Linea 15: Linea 12:
Per [:AmministrazioneSistema/InstallareProgrammi:installare] il programma '''!RootkitHunter''' digitare in [:AmministrazioneSistema/RigaDiComando:terminale]:
Linea 17: Linea 13:
{{{
sudo apt-get install rkhunter		 [[AmministrazioneSistema/InstallareProgrammi|Installare]] il pacchetto [[apt://rkhunter | rkhunter]].

= Configurazione =

Completata l'installazione di '''Rootkit Hunter''', è necessario aggiornare il programma e il database utilizzato per eseguire la scansione del sistema. A tale scopo digitare nel [[AmministrazioneSistema/Terminale|terminale]] il comando: {{{
sudo rkhunter --update
Linea 21: Linea 21:
Completata l'installazione di '''Rootkit Hunter''', prima di utilizzarlo è necessario aggiornare, sia il software, sia il database utilizzato per eseguire la scansione del sistema. = Avvio e utilizzo =
Linea 23: Linea 23:
Digitare in [:AmministrazioneSistema/RigaDiComando:terminale]:

{{{
rkhunter --update		 Per avviare una scansione del sistema digitare nel [[AmministrazioneSistema/Terminale|terminale]] il comando: {{{
sudo rkhunter -c
Linea 29: Linea 27:
= Utilizzo = Quella che segue è una spiegazione dei principali comandi disponibili:
Linea 31: Linea 29:
Per scansionare il sistema digitare: ||<style="background-color:#cccccc;":> '''Opzione'''||<style="background-color:#cccccc;":> '''Descrizione'''||
||<style="text-align:center">'''--disable-md5-check''' || Viene disabilitato il controllo sugli hash MD5.||
||<style="text-align:center">'''--report-mode''' || Non vengono visualizzati messaggi aggiuntivi, ma solo il report dell'analisi del sistema.||
||<style="text-align:center">'''--cronjob''' || Esegue l'applicazione automaticamente a intervalli di tempo regolari.||
||<style="text-align:center">'''--skip-keypress''' || Evita di dover premere «'''ok'''» alla fine di ogni test.||
Linea 33: Linea 35:
Una volta terminata la scansione, l'applicazione mostra un rapporto sullo stato del sistema, grazie al quale sarà possibile capire se sono presenti dei programmi malevoli all'interno del computer.

Questo è un esempio del risultato di scansione:
Linea 34: Linea 39:
sudo rkhunter --checkall System checks summary
=====================

File properties checks...
    Files checked: 122
    Suspect files: 5

Rootkit checks...
    Rootkits checked : 109
    Possible rootkits: 2

Applications checks...
    Applications checked: 3
    Suspect applications: 1

The system checks took: 1 minute and 37 seconds
Linea 37: Linea 57:
Nella tabella di seguito vengono illustrati e spiegati gran parte dei comandi disponibili. Il log mostrato sopra è solo una descrizione sommaria riportata alla fine della scansione, per avere una visione completa su quanto analizzato da '''Rootkit Hunter''' consultare il file `/var/log/rkhunter.log`.
Linea 39: Linea 59:
||<style="background-color:#F6D358;":> '''Opzione'''||<style="background-color:#F6D358;":> '''Descrizione'''||
||<style="text-align:center">'''- -createlogfile''' || Crea un file di log della scansione in ''/var/log/rkhunter.log''.||
||<style="text-align:center">'''- -disable-md5-check''' || Non esegue il controllo sugli hash MD5.||
||<style="text-align:center">'''- -report-mode''' || Non visualizzare messaggi aggiuntivi, ma solo il report dell' analisi del sistema.||
||<style="text-align:center">'''- -cronjob''' || Esegue '''Rootkit Hunter''' automaticamente ad intervalli di tempo regolari.||
||<style="text-align:center">'''- -skip-keypress''' || Evita di dover premere '''ok''' alla fine di ogni test.||		 Nel caso in cui nel log risultino dei file sospetti è consigliato utilizzare alcune delle seguenti patch del kernel:
Linea 46: Linea 61:
Una volta terminata la fase di controllo, '''Rootkit Hunter''' mostra un report dello stato del sistema.   * [[http://www.lids.org/|lids]]: consente di bloccare il kernel nei casi di occultamento o modifica dei PID dei processi, di caricamento di altri moduli e di manipolazione dei file presenti nella cartella `/dev`.
Linea 48: Linea 63:
Basta darci uno sguardo per capire se c'è qualcosa che non va nel computer.   * [[http://www.nsa.gov/selinux/|selinux]]: aumenta il grado si sicurezza del proprio sistema operativo. Il principio su cui è basato è il «Mandatory Access Control», nella pratica per cui il MAC impedisce ai processi di andare oltre quelli che sono i limiti imposti dall'amministratore del sistema. Inoltre controlla che gli utenti del sistema possano controllare e gestire liberamente i file e le impostazioni di sistema, per evitare che ci siano state manomissioni nei [[AmministrazioneSistema/PermessiFile|permessi]].
Linea 50: Linea 65:
= Un Rootkit! E adesso? =   * [[http://www.nessus.org/nessus/|Nessus]]: consente la ricerca da remoto di qualsiasi tipo di vulnerabilità all'interno del sistema.
Linea 52: Linea 67:
L'unica contromisura che si può adottare è quella di utilizzare patch del '''kernel''', in grado di bloccare (nel senso che non permette modifiche) il '''kernel''' se qualcuno tenta di modificare i '''PID''' dei processi e prova a manipolare i file presenti nella directory ''/dev'' oppure se si prova in maniera non autorizzata ad accedere ai segmenti di memoria condivisa.   * [[http://www.foundstone.com/us/index.asp|Carbonite]]: consente il collegamento di ogni processo nella «task_struck», che sarebbe la struttura che raccoglie tutte le le info relative ai processi di sistema, per individuare i processi pericolosi una volta che la macchina è stata manomessa.

  * [[http://www.tripwire.com/|Tripwire]]: uno strumento per il controllo delle «checksum» crittografiche, consente di controllare lo stato di determinati file rispetto ad uno stato di partenza.
Linea 55: Linea 72:
[http://www.rootkit.nl/projects/rootkit_hunter.html Sito ufficiale]
Linea 57: Linea 73:
 * [[http://www.rootkit.nl/projects/rootkit_hunter.html|Sito ufficiale del progetto]]
 * [[http://it.wikipedia.org/wiki/Rootkit|Voce enciclopedica di RootKit]]
 * [[http://it.wikipedia.org/wiki/Backdoor|Voce enciclopedica di Backdoor]]
 * [[http://it.wikipedia.org/wiki/MD5|Voce enciclopedica di MD5]]
Linea 58: Linea 78:
CategoryHomepage CategorySicurezza

Questa guida è stata verificata solo con versioni obsolete di Ubuntu, potrebbe non essere più valida. Vuoi contribuire ad aggiornarla? Clicca qui!

Introduzione

Rootkit Hunter consente di analizzare il filesystem, sottoponendo alla scansione tutti i file presenti alla ricerca di applicazioni malevole.

Installazione

Installare il pacchetto rkhunter.

Configurazione

Completata l'installazione di Rootkit Hunter, è necessario aggiornare il programma e il database utilizzato per eseguire la scansione del sistema. A tale scopo digitare nel terminale il comando: 

sudo rkhunter --update

Avvio e utilizzo

Per avviare una scansione del sistema digitare nel terminale il comando: 

sudo rkhunter -c

Quella che segue è una spiegazione dei principali comandi disponibili:

Opzione

Descrizione

--disable-md5-check

Viene disabilitato il controllo sugli hash MD5.

--report-mode

Non vengono visualizzati messaggi aggiuntivi, ma solo il report dell'analisi del sistema.

--cronjob

Esegue l'applicazione automaticamente a intervalli di tempo regolari.

--skip-keypress

Evita di dover premere «ok» alla fine di ogni test.

Una volta terminata la scansione, l'applicazione mostra un rapporto sullo stato del sistema, grazie al quale sarà possibile capire se sono presenti dei programmi malevoli all'interno del computer.

Questo è un esempio del risultato di scansione: 

System checks summary
=====================

File properties checks...
    Files checked: 122
    Suspect files: 5

Rootkit checks...
    Rootkits checked : 109
    Possible rootkits: 2

Applications checks...
    Applications checked: 3
    Suspect applications: 1

The system checks took: 1 minute and 37 seconds

Il log mostrato sopra è solo una descrizione sommaria riportata alla fine della scansione, per avere una visione completa su quanto analizzato da Rootkit Hunter consultare il file /var/log/rkhunter.log.

Nel caso in cui nel log risultino dei file sospetti è consigliato utilizzare alcune delle seguenti patch del kernel:

  • lids: consente di bloccare il kernel nei casi di occultamento o modifica dei PID dei processi, di caricamento di altri moduli e di manipolazione dei file presenti nella cartella /dev.

  • selinux: aumenta il grado si sicurezza del proprio sistema operativo. Il principio su cui è basato è il «Mandatory Access Control», nella pratica per cui il MAC impedisce ai processi di andare oltre quelli che sono i limiti imposti dall'amministratore del sistema. Inoltre controlla che gli utenti del sistema possano controllare e gestire liberamente i file e le impostazioni di sistema, per evitare che ci siano state manomissioni nei permessi.

  • Nessus: consente la ricerca da remoto di qualsiasi tipo di vulnerabilità all'interno del sistema.

  • Carbonite: consente il collegamento di ogni processo nella «task_struck», che sarebbe la struttura che raccoglie tutte le le info relative ai processi di sistema, per individuare i processi pericolosi una volta che la macchina è stata manomessa.

  • Tripwire: uno strumento per il controllo delle «checksum» crittografiche, consente di controllare lo stato di determinati file rispetto ad uno stato di partenza.

Ulteriori risorse

CategorySicurezza