|
Dimensione: 5339
Commento:
|
Dimensione: 5179
Commento: piccola controllata
|
| Le cancellazioni sono segnalate in questo modo. | Le aggiunte sono segnalate in questo modo. |
| Linea 1: | Linea 1: |
| #format wiki #language it |
|
| Linea 4: | Linea 6: |
| '''!RootkitHunder''' è il programma ideale per ogni amministratore di sistema che desidera scoprire intrusi e codice maligno presenti nel proprio pc. | |
| Linea 6: | Linea 7: |
| Il programma permette di analizzare il filesystem, sottoponendo alla scansione tutti i file presenti in esso alla ricerca di '''backdoor''' e '''rootkit''' e non. | '''!RootkitHunder''' permette di analizzare il filesystem, sottoponendo alla scansione tutti i file presenti in esso alla ricerca di '''backdoor''' e '''rootkit''' e non. |
| Linea 14: | Linea 15: |
| = Preparativi = Abilitare i [:Repository/Componenti:componenti] '''universe''' dei [:Repository:repository] ufficiali. |
|
| Linea 16: | Linea 22: |
| Per utilizzare il programma '''!RootkitHunter''' [:AmministrazioneSistema/InstallareProgrammi:Installare] il pacchetto ''arkhunter'', presente nel [:Repository/Componenti:componente] '''universe''' dei [:Repository:repository] ufficiali. | [:AmministrazioneSistema/InstallareProgrammi:Installare] il pacchetto ''rkhunter''. |
| Linea 18: | Linea 24: |
| Completata l'installazione di '''!RootkitHunter''', prima di utilizzarlo è necessario aggiornare il programma ed il database utilizzato per eseguire la scansione del sistema, per fare questa operazione digitare in una finestra di termiane il seguente comando:{{{ rkhunter --update |
= Configurazione = Completata l'installazione di '''!RootkitHunter''', è necessario aggiornare il programma ed il database utilizzato per eseguire la scansione del sistema, per fare questa operazione digitare in una finestra di terminale il seguente comando:{{{ sudo rkhunter --update |
| Linea 33: | Linea 41: |
| ||<style="text-align:center">'''--createlogfile''' || Viene creato un log della scansione all'interno della cartella` /var/log/rkhunter.log`.|| | |
| Linea 45: | Linea 52: |
| = Resoconto = | |
| Linea 47: | Linea 53: |
| Questo è un esempio del risultato di scansione riportato da '''rootkit hunter''': |
Questo è un esempio del risultato di scansione riportato da '''!RootkitHunter''': |
| Linea 68: | Linea 73: |
| '''Rootkit hunter''' in questo caso ha trovato: |
In questo caso analizzando la scansione sono state trovare le seguenti possibili vulnerabilità nel sistema: |
| Linea 71: | Linea 75: |
| Linea 73: | Linea 76: |
| Linea 76: | Linea 78: |
| = Un Rootkit! E adesso? = | Il log mostrato sopra è solo una descrizione sommaria riportata alla fine della scansione, per avere una visione completa su quando analizzato da '''!RootkitHunter''' consultare il relativo file di log `/var/log/rkhunter.log`. |
| Linea 78: | Linea 80: |
| * L'unica contromisura che si può adottare è quella di utilizzare patch del kernel. | Nel caso in cui nel log risultano dei file sospetti bisogna utilizzare le patch del kernel. |
| Linea 80: | Linea 82: |
| * Allo stato attuale non esiste nessun programma in grado di eliminare '''rootkit''' presenti nel sistema operativo. * Le principali patch del kernel anti '''Rootkit''' sono le seguenti: |
Le principali patch del kernel anti '''Rootkit''' sono le seguenti: |
Introduzione
RootkitHunder permette di analizzare il filesystem, sottoponendo alla scansione tutti i file presenti in esso alla ricerca di backdoor e rootkit e non.
Le tecniche di scansione sono:
- Verifica dei codici (has) MD5
- Segnalazione di permessi errati
- Blocco di tutti i moduli del kernel pericolosi
- Scansione dì tutti i file eseguibili
Preparativi
Abilitare i [:Repository/Componenti:componenti] universe dei [:Repository:repository] ufficiali.
Installazione
[:AmministrazioneSistema/InstallareProgrammi:Installare] il pacchetto rkhunter.
Configurazione
Completata l'installazione di RootkitHunter, è necessario aggiornare il programma ed il database utilizzato per eseguire la scansione del sistema, per fare questa operazione digitare in una finestra di terminale il seguente comando:
sudo rkhunter --update
Utilizzo
Per avviare una scansione del sistema alla ricerca di codici maligni oppure intrusi lanciare sempre in una finestra di terminale il seguente comando:
sudo rkhunter -c
Nella tabella seguente vengono riportati e spiegati i principali comandi disponibili:
Opzione |
Descrizione |
--disable-md5-check |
Viene disabilitato il controllo sugli hash MD5. |
--report-mode |
Non vengono visualizzati messaggi aggiuntivi, ma solo il report dell'analisi del sistema. |
--cronjob |
Esegue RootkitHunter automaticamente ad intervalli di tempo regolari. |
--skip-keypress |
Evita di dover premere «ok» alla fine di ogni test. |
Per avere una panoramica completa dei comandi offerti dal programma consultare il relativo manuale, tramite il comando:
man rkhunter
Una volta terminata la fase di controllo, RootkitHunter mostra un report dello stato del sistema, dove è possibile capire se sono presenti dei malfunzionamenti all'interno del computer.
Questo è un esempio del risultato di scansione riportato da RootkitHunter:
System checks summary
=====================
File properties checks...
Files checked: 122
Suspect files: 5
Rootkit checks...
Rootkits checked : 109
Possible rootkits: 2
Applications checks...
Applications checked: 3
Suspect applications: 1
The system checks took: 1 minute and 37 secondsIn questo caso analizzando la scansione sono state trovare le seguenti possibili vulnerabilità nel sistema:
Due possibili rootkit su 109
- Cinque file sospetti su 122
Una applicazione sospettata di essere un rootkit su 3
Il log mostrato sopra è solo una descrizione sommaria riportata alla fine della scansione, per avere una visione completa su quando analizzato da RootkitHunter consultare il relativo file di log /var/log/rkhunter.log.
Nel caso in cui nel log risultano dei file sospetti bisogna utilizzare le patch del kernel.
Le principali patch del kernel anti Rootkit sono le seguenti:
[http://www.lids.org/ Lids]: è una patch capace di bloccare il kernel se qualcuno tenta in maniera non autorizzata di occultare o modificare i PID dei processi, di caricare altri moduli oppure prova a manipolare i file presenti nella cartella /dev.
[http://www.nsa.gov/selinux/ SELinux]: è un abbreviazione di Security Enhanced Linux, questa patch aumenta il grado si sicurezza del proprio sistema operativo. Il principio su cui è basato è il «Mandatory Access Control», nella pratica per cui il MAC impedisce ai processi di andare oltre quelli che sono i limiti imposti dall'amministratore del sistema. Inoltre controlla che gli utenti del sistema possano controllare e gestire liberamente i file e le impostazioni di sistema, per evitare che ci siano state manomissioni nei permessi.
[http://www.nessus.org/nessus/ Nessus]: è un ottimo strumento di tipo «security scanner» per la ricerca da remoto di una o più macchine di qualsiasi tipo di vulnerabilità all' interno del sistema.
[http://www.foundstone.com/us/index.asp Carbonite]: permette il collegamento di ogni processo nella «task_struck», che sarebbe la struttura che raccoglie tutte le le info relative ai processi di sistema, per individuare i processi pericolosi una volta che la macchina è stata manomessa.
[http://www.tripwire.com/ Tripwire]: è uno strumento per il controllo delle «checksum» crittografiche. In poche parole controlla lo stato di determinati file rispetto ad uno stato di partenza.
Ulteriori risorse
[http://www.rootkit.nl/projects/rootkit_hunter.html Sito ufficiale del progetto]
[http://it.wikipedia.org/wiki/Rootkit Voce enciclopedica di RootKit]
[http://it.wikipedia.org/wiki/Backdoor Voce enciclopedica di Backdoor]
[http://it.wikipedia.org/wiki/MD5 Voce enciclopedica di MD5]
