Auch Hacker hinterlassen Spuren im System!

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Einbruchserkennung: Logfiles verraten den Angreifer

Sofern man nun beginnen sollte, die nachfolgenden Hinweise in Logfiles aufzuspüren kann es vorkommen, dass man dabei auf leere Logfiles stößt. Ein klarer Hinweis darauf, dass ein Angreifer das System kompromittiert hat und die Logfiles von ihm gelöscht wurden. Logfiles können in der Regel nur mit root Rechten geschrieben und auch gelöscht werden. Die Auswertung kann man auf den meisten Linux Systemen auch als nicht-privilegierter User vornehmen. Am schnellsten sieht man mit der Konsole Logfiles ein: „~$ cd/var/log“. Um anschließend Einblick zu erhalten, wählt man

~$ less kern.log

für die Kernelaktivitäten des Systems.

Die aktuell letzten Meldungen kann man sich am einfachsten mit „tail“ anzeigen lassen. Man kann auch direkt das entsprechende Logfile aufrufen:

~$ less /var/log/kern.log

Weiter sehr hilfreiche Befehle für die Auswertung von Logfiles mittels Konsole:

tail -n30 /var/log/kern.log

Anzeige der letzten 30 Zeilen des Logfiles kern.log

head -n30 /var/log/kern.log

Zeigt die ersten 30 Einträge im kern.log

tail -f /var/log/kern.log

lässt in Echtzeit das Logfile mitlaufen und zeigt es an

grep „2 .*eth1*“ /var/log/kern.log

Filtert Einträge der Schnittstelle eth1 und alles was am 2. eines Monats passiert ist

Natürlich kann kern.log auch durch /var/log/messages oder /var/log/user.log ausgetauscht werden. Es gibt weitaus mehr Möglichkeiten, Befehle wie cat und grep miteinander zu verbinden, um weitere Details aus dem betroffenen Logfile zu filtern. Zuständig für das Schreiben von Logfiles ist der Daemon syslogd, der unter /etc/syslogd.conf nach Bedarf nachkonfiguriert werden kann.

Im Normalfall ist die Standard-Einstellung vollkommen ausreichend und bietet mehr als einen guten Einblick in das System. Man findet in den Logfiles unter anderem die Einträge vom Starten des Systems bis hin zu Aktivitäten der Firewall, sofern iptables aktiviert ist. Ein Beispieleintrag könnte dann wie folgt aussehen:

Jan 12 13:34:26 debianserver kernel: ABORTED IN=eth1 OUT= MAC=00:c0:9f:26:a1:a9:00:xx:xx:xx:e5:18:d3:00 SRC=62.131.xx.xx DST=192.168.1.200

In diesem Beispiel versuchte ein Rechner mit der IP Adresse 62.131.xx.xx auf das Netzwerk über 192.168.1.200 Zugriff zu bekommen und wurde von iptables erfolgreich abgewehrt.

Da Angreifer sich, wie zu Beginn bereits erwähnt, meist höhere Rechte verschaffen, sollten auch die Aktionen mittels user.log und auth.log verzeichnet sein. Eine Übersicht über alle User, die in einem System angelegt sind, erhalten Sie mit

cat /etc/passwd

Aktionen die ein User über eine Konsole vornimmt, speichert die dazu gehörige History Datei .bash_history. Diese Datei befindet sich im jeweiligen Ordner des Users: ~$ less /home/marko/.bash_history oder als root ~$ .bash_history. Dabei sollten Sie auf der Konsole auch als root User angemeldet sein. Im entsprechenden Logfile /var/log/auth.log lassen sich in den meisten Linux Systemen Anmeldeversuche via Telnet, SSH oder Samba nachvollziehen, da diese dort protokolliert werden.

Mit den „Hausmitteln“ unter Linux ist es bereits jetzt durchaus möglich, einen Angreifer auszumachen und dessen Spuren zu verfolgen.

Einbruchserkennung mit Linux – Teil 2

Lesen Sie in Einbruchserkennung mit Linux – Teil 2, welche Fehler Angreifer machen und welche Tools hilfreich sein können, um Angriffe sicher zu erkennen und sich vor Angriffen zu schützen.

(ID:2012403)