Hacking mit Security-Tools wie Netstat, Snort und RKhunter aufspüren

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Mehr Sicherheit vor Angreifern: rkhunter findet Rootkits

Zunächst einmal ist es entscheidet sich zu versichern, dass ein angegriffenes System wieder vollkommen sauber ist und sich kein Angreifer ihm mehr bemächtigen kann. Hierzu sollte man das System auf Rootkits untersuchen, was sich am effektivsten mit Programmen wie „chkrootkit“ oder mit „rkhunter“ bewerkstelligen lässt.

Anhand von „rkhunter“ hat SeachSecurity getestet, ob das Testssystem mit einem Rootkit infiziert ist. Man kann rkhunter unter /etc/rkhunter.conf an seine persönlichen Bedürfnisse anpassen. Dies ist allerdings nicht notwendig, wenn man rkhunter als cron-Job laufen lässt. Dazu gibt man dem Tool den entsprechenden Befehl

~$ rkhunter - -cronjob.

Diese Methode erweist sich als sehr effektiv, da die Auswertung immer beim Systemstart vorgenommen wird. Eine Zustellung des Logfiles und der Ergebnisse kann dann via E-Mail lokal erfolgen. Dazu sollte sich der folgende Eintrag in /etc/cron.daily befinden:

#!/bin/sh RKHUNTER=/usr/bin/rkhunter test -x $RKHUNTER || exit 0 # source our config . /etc/default/rkhunter if [ -z „$NICE“ ]; then NICE=0 fi case „$CRON_DAILY_RUN“ in [Yy]*) OUTFILE=`mktemp` || exit 1 /usr/bin/nice -n $NICE $RKHUNTER --cronjob --report-warnings-only \ --createlogfile /var/log/rkhunter.log $RK_OPT > $OUTFILEif [ -s „$OUTFILE“ ]; then ( echo „Subject: [rkhunter] $(hostname -f) - Daily report“ echo „To: $REPORT_EMAIL“ echo „“ cat $OUTFILE ) | /usr/sbin/sendmail $REPORT_EMAIL firm -f $OUTFILE ;; *) exit 0 ;; esac

„rkhunter“ überprüft anhand einer Datenbank, ob ein Rootkit eingenistet ist, verdächtige Verzeichnisse existieren oder Ports durch Rootkits geöffnet wurden.

Checking for UDP port 2001 [ Not found ] Checking for TCP port 2006 [ Not found ] Checking for TCP port 2128 [ Not found ] Checking for TCP port 14856 [ Not found ] Checking for TCP port 47107 [ Not found ] Checking for TCP port 60922 [ Not found ]

Sofern rkhunter die Suche nach Rootkits beendet hat, bekommt man eine Übersicht über alles was gefunden und was untersucht wurde.

Da es vorkommen kann, dass nach wie vor ein Angreifer Herr über Ihr System ist, sollte man das Passwort mittels einer Rettungs-CD wieder neu einrichten. Hierzu greifen Sie auf die entsprechende Passwort-Datei zu, die unter /etc/shadow zu finden ist. Darin enthalten ist auch das root-Passwort, das nun dringend geändert werden sollte. Im Regelfall stellt root den ersten Eintrag, der wie folgt aussehen kann:

root:$1$3ycyLKVE$PfeBBx5ANKiWKLWAzMlhdoUY1:13414:0:988959:4:::

Hierzu löscht man nach root: alle Einträge bis zum nächsten Doppelpunkt und startet das System neu. Im Anschluss setzt man wie gewohnt ein neues Passwort ein:

~$ passwd root.

Seite 3: Nützlich – Logwatch sammelt Logfiles ein

(ID:2012507)