|
Dimensione: 4415
Commento: va rivisto l'uso dell'italiano
|
Dimensione: 4278
Commento: sposta, nuova guida
|
| Le cancellazioni sono segnalate in questo modo. | Le aggiunte sono segnalate in questo modo. |
| Linea 1: | Linea 1: |
| ## page was renamed from AlbertoTomaduz/Prove7 | |
| Linea 7: | Linea 8: |
| '''!RootkitHunder''' permette di analizzare il ''filesystem'', sottoponendo alla scansione tutti i file presenti in esso alla ricerca di applicazioni malevoli. = Preparativi = Abilitare il [:Repository/Componenti:componente] '''universe''' dei [:Repository:repository] ufficiali. |
'''Rootkit Hunder''' consente di analizzare il filesystem, sottoponendo alla scansione tutti i file presenti in esso alla ricerca di applicazioni malevoli. |
| Linea 15: | Linea 12: |
| [:AmministrazioneSistema/InstallareProgrammi:Installare] il pacchetto ''rkhunter''. | Per installare l'applicazione è necessario [:AmministrazioneSistema/InstallareProgrammi:installare] il pacchetto ''rkhunter'', reperibile dal [:Repository/Componenti:componente] '''universe''' dei [:Repository:repository ufficiali]. |
| Linea 19: | Linea 16: |
| Completata l'installazione di '''!RootkitHunter''', è necessario aggiornare il programma e il database utilizzato per eseguire la scansione del sistema; a tale scopo è sufficiente digitare il seguente comando in una finestra di terminale: | Completata l'installazione di '''Rootkit Hunter''', è necessario aggiornare il programma e il database utilizzato per eseguire la scansione del sistema; a tale scopo è sufficiente digitare il seguente comando in una finestra di terminale: |
| Linea 36: | Linea 33: |
| ||<style="text-align:center">'''--cronjob''' || Esegue '''!RootkitHunter''' automaticamente a intervalli di tempo regolari.|| | ||<style="text-align:center">'''--cronjob''' || Esegue l'applicazione automaticamente a intervalli di tempo regolari.|| |
| Linea 39: | Linea 36: |
| Una volta terminata la scansione, '''!RootkitHunter''' mostra un report dello stato del sistema, grazie al quale sarà possibile capire se sono presenti dei programmai malevoli all'interno del computer. | Una volta terminata la scansione, l'applicazione mostra un rapporto sullo stato del sistema, grazie al quale sarà possibile capire se sono presenti dei programmai malevoli all'interno del computer. |
| Linea 61: | Linea 58: |
| Il log mostrato sopra è solo una descrizione sommaria riportata alla fine della scansione, per avere una visione completa su quanto analizzato da '''!RootkitHunter''' consultare il file `/var/log/rkhunter.log`. | Il log mostrato sopra è solo una descrizione sommaria riportata alla fine della scansione, per avere una visione completa su quanto analizzato da '''Rootkit Hunter''' consultare il file `/var/log/rkhunter.log`. |
| Linea 63: | Linea 60: |
| Nel caso in cui nel log risultino dei file sospetti bisogna utilizzare le patch del kernel; le principali patch del kernel sono le seguenti: | Nel caso in cui nel log risultino dei file sospetti è consigliato utilizzare alcune delle seguenti patch del kernel: |
| Linea 65: | Linea 62: |
| * [http://www.lids.org/ lids]: è una patch capace di bloccare il kernel nei casi di occultamento o modifica dei PID dei processi, di caricamento di altri moduli e prova a manipolare i file presenti nella cartella `/dev`. | * [http://www.lids.org/ lids]: consente di bloccare il kernel nei casi di occultamento o modifica dei PID dei processi, di caricamento di altri moduli e di manipolazione dei file presenti nella cartella `/dev`. |
| Linea 67: | Linea 64: |
| * '''[http://www.nsa.gov/selinux/ selinux]:''' è un abbreviazione di Security Enhanced Linux, questa patch aumenta il grado si sicurezza del proprio sistema operativo. Il principio su cui è basato è il «Mandatory Access Control», nella pratica per cui il MAC impedisce ai processi di andare oltre quelli che sono i limiti imposti dall'amministratore del sistema. Inoltre controlla che gli utenti del sistema possano controllare e gestire liberamente i file e le impostazioni di sistema, per evitare che ci siano state manomissioni nei permessi. | * [http://www.nsa.gov/selinux/ selinux]: aumenta il grado si sicurezza del proprio sistema operativo. Il principio su cui è basato è il «Mandatory Access Control», nella pratica per cui il MAC impedisce ai processi di andare oltre quelli che sono i limiti imposti dall'amministratore del sistema. Inoltre controlla che gli utenti del sistema possano controllare e gestire liberamente i file e le impostazioni di sistema, per evitare che ci siano state manomissioni nei permessi. |
| Linea 69: | Linea 66: |
| * '''[http://www.nessus.org/nessus/ Nessus]:''' è un ottimo strumento di tipo «security scanner» per la ricerca da remoto di una o più macchine di qualsiasi tipo di vulnerabilità all' interno del sistema. | * [http://www.nessus.org/nessus/ Nessus]: consente la ricerca da remoto di qualsiasi tipo di vulnerabilità all'interno del sistema. |
| Linea 71: | Linea 68: |
| * '''[http://www.foundstone.com/us/index.asp Carbonite]:''' permette il collegamento di ogni processo nella «task_struck», che sarebbe la struttura che raccoglie tutte le le info relative ai processi di sistema, per individuare i processi pericolosi una volta che la macchina è stata manomessa. | * [http://www.foundstone.com/us/index.asp Carbonite]: consente il collegamento di ogni processo nella «task_struck», che sarebbe la struttura che raccoglie tutte le le info relative ai processi di sistema, per individuare i processi pericolosi una volta che la macchina è stata manomessa. |
| Linea 73: | Linea 70: |
| * '''[http://www.tripwire.com/ Tripwire]:''' è uno strumento per il controllo delle «checksum» crittografiche. In poche parole controlla lo stato di determinati file rispetto ad uno stato di partenza. | * [http://www.tripwire.com/ Tripwire]: uno strumento per il controllo delle «checksum» crittografiche, consente di controllare lo stato di determinati file rispetto ad uno stato di partenza. |
| Linea 76: | Linea 73: |
| Linea 80: | Linea 78: |
Introduzione
Rootkit Hunder consente di analizzare il filesystem, sottoponendo alla scansione tutti i file presenti in esso alla ricerca di applicazioni malevoli.
Installazione
Per installare l'applicazione è necessario [:AmministrazioneSistema/InstallareProgrammi:installare] il pacchetto rkhunter, reperibile dal [:Repository/Componenti:componente] universe dei [:Repository:repository ufficiali].
Configurazione
Completata l'installazione di Rootkit Hunter, è necessario aggiornare il programma e il database utilizzato per eseguire la scansione del sistema; a tale scopo è sufficiente digitare il seguente comando in una finestra di terminale:
sudo rkhunter --update
Avvio e utilizzo
Per avviare una scansione del sistema digitare il seguente comando in una finestra di terminale:
sudo rkhunter -c
Quella che segue è una spiegazione dei principali comandi disponibili:
Opzione |
Descrizione |
--disable-md5-check |
Viene disabilitato il controllo sugli hash MD5. |
--report-mode |
Non vengono visualizzati messaggi aggiuntivi, ma solo il report dell'analisi del sistema. |
--cronjob |
Esegue l'applicazione automaticamente a intervalli di tempo regolari. |
--skip-keypress |
Evita di dover premere «ok» alla fine di ogni test. |
Una volta terminata la scansione, l'applicazione mostra un rapporto sullo stato del sistema, grazie al quale sarà possibile capire se sono presenti dei programmai malevoli all'interno del computer.
Questo è un esempio del risultato di scansione:
System checks summary
=====================
File properties checks...
Files checked: 122
Suspect files: 5
Rootkit checks...
Rootkits checked : 109
Possible rootkits: 2
Applications checks...
Applications checked: 3
Suspect applications: 1
The system checks took: 1 minute and 37 secondsIl log mostrato sopra è solo una descrizione sommaria riportata alla fine della scansione, per avere una visione completa su quanto analizzato da Rootkit Hunter consultare il file /var/log/rkhunter.log.
Nel caso in cui nel log risultino dei file sospetti è consigliato utilizzare alcune delle seguenti patch del kernel:
[http://www.lids.org/ lids]: consente di bloccare il kernel nei casi di occultamento o modifica dei PID dei processi, di caricamento di altri moduli e di manipolazione dei file presenti nella cartella /dev.
[http://www.nsa.gov/selinux/ selinux]: aumenta il grado si sicurezza del proprio sistema operativo. Il principio su cui è basato è il «Mandatory Access Control», nella pratica per cui il MAC impedisce ai processi di andare oltre quelli che sono i limiti imposti dall'amministratore del sistema. Inoltre controlla che gli utenti del sistema possano controllare e gestire liberamente i file e le impostazioni di sistema, per evitare che ci siano state manomissioni nei permessi.
[http://www.nessus.org/nessus/ Nessus]: consente la ricerca da remoto di qualsiasi tipo di vulnerabilità all'interno del sistema.
[http://www.foundstone.com/us/index.asp Carbonite]: consente il collegamento di ogni processo nella «task_struck», che sarebbe la struttura che raccoglie tutte le le info relative ai processi di sistema, per individuare i processi pericolosi una volta che la macchina è stata manomessa.
[http://www.tripwire.com/ Tripwire]: uno strumento per il controllo delle «checksum» crittografiche, consente di controllare lo stato di determinati file rispetto ad uno stato di partenza.
Ulteriori risorse
[http://www.rootkit.nl/projects/rootkit_hunter.html Sito ufficiale del progetto]
[http://it.wikipedia.org/wiki/Rootkit Voce enciclopedica di RootKit]
[http://it.wikipedia.org/wiki/Backdoor Voce enciclopedica di Backdoor]
[http://it.wikipedia.org/wiki/MD5 Voce enciclopedica di MD5]
