Come determinare se un sistema Linux è compromesso

Questo comando mostrerà la cronologia dei comandi leggendo il file .bash-storia nel /casa cartella di quell'utente. Cerca con attenzione wget, arricciare, o netcat comandi, nel caso in cui l'attaccante abbia utilizzato questi comandi per trasferire file o per installare strumenti di repository, come crypto-miner o spam bot.

Dai un'occhiata all'esempio qui sotto:

Sopra, puoi vedere il comando “wget https://github.com/sajith/mod-rootme." In questo comando, l'hacker ha tentato di accedere a un file di repository utilizzando wget per scaricare una backdoor chiamata "mod-root me" e installarla sul tuo sistema. Questo comando nella cronologia significa che il sistema è compromesso ed è stato sottoposto a backdoor da un utente malintenzionato.

Ricorda, questo file può essere facilmente espulso o la sua sostanza prodotta. I dati forniti da questo comando non devono essere presi come una realtà definita. Tuttavia, nel caso in cui l'attaccante abbia eseguito un comando "cattivo" e abbia trascurato di evacuare la cronologia, sarà lì.

Cron Jobs

I lavori Cron possono fungere da strumento vitale se configurati per impostare una shell inversa sulla macchina dell'attaccante. Modificare i lavori cron è un'abilità importante, così come sapere come visualizzarli.

Per visualizzare i lavori cron in esecuzione per l'utente corrente, utilizzeremo il seguente comando:

Per visualizzare i lavori cron in esecuzione per un altro utente (in questo caso, Ubuntu), utilizzeremo il seguente comando:

Per visualizzare i cron job giornalieri, orari, settimanali e mensili, utilizzeremo i seguenti comandi:

Lavori Cron giornalieri:

Lavori Cron orari:

Lavori Cron settimanali:

Prendi un esempio:

L'attaccante può inserire un cron job in /etc/crontab che esegue un comando dannoso 10 minuti dopo ogni ora. L'attaccante può anche eseguire un servizio dannoso o una backdoor di shell inversa tramite netcat o qualche altra utilità. Quando esegui il comando $~ crontab -l, vedrai un cron job in esecuzione sotto:

Per verificare correttamente se il tuo sistema è stato compromesso, è anche importante visualizzare i processi in esecuzione. Ci sono casi in cui alcuni processi non autorizzati non consumano abbastanza utilizzo della CPU per essere elencati nel in superiore comando. Ecco dove useremo il ps comando per mostrare tutti i processi attualmente in esecuzione.

La prima colonna mostra l'utente, la seconda colonna mostra un ID processo univoco e l'utilizzo della CPU e della memoria è mostrato nelle colonne successive.

Questa tabella ti fornirà la maggior parte delle informazioni. Dovresti ispezionare ogni processo in esecuzione per cercare qualcosa di particolare per sapere se il sistema è compromesso o meno. Nel caso in cui trovi qualcosa di sospetto, cercalo su Google o eseguilo con il lsof comando, come mostrato sopra. Questa è una buona abitudine per correre ps comandi sul tuo server e aumenterà le tue possibilità di trovare qualcosa di sospetto o fuori dalla tua routine quotidiana.

/etc/passwd

Il /etc/passwd il file tiene traccia di ogni utente nel sistema. Questo è un file separato da due punti contenente informazioni come nome utente, ID utente, password crittografata, ID gruppo (GID), nome completo dell'utente, directory home dell'utente e shell di accesso.

Se un utente malintenzionato entra nel tuo sistema, c'è la possibilità che crei altri utenti, per mantenere le cose separate o per creare una backdoor nel tuo sistema per tornare usando quella backdoor. Mentre controlli se il tuo sistema è stato compromesso, dovresti anche verificare ogni utente nel file /etc/passwd. Digita il seguente comando per farlo:

Questo comando ti darà un output simile a quello qui sotto:

Ora vorrai cercare qualsiasi utente di cui non sei a conoscenza. In questo esempio, puoi vedere un utente nel file denominato "anonimo." Un'altra cosa importante da notare è che se l'attaccante ha creato un utente con cui accedere nuovamente, all'utente verrà assegnata anche una shell "/bin/bash". Quindi, puoi restringere la tua ricerca greppando il seguente output:

Puoi eseguire ulteriori "bash magic" per perfezionare il tuo output.

Trova

Le ricerche basate sul tempo sono utili per un rapido triage. L'utente può anche modificare i timestamp di modifica dei file. Per migliorare l'affidabilità, includi ctime nei criteri, poiché è molto più difficile da manomettere perché richiede modifiche di alcuni file di livello.

Puoi utilizzare il seguente comando per trovare i file creati e modificati negli ultimi 5 giorni:

Per trovare tutti i file SUID di proprietà del root e per verificare se ci sono voci impreviste negli elenchi, utilizzeremo il seguente comando:

Per trovare tutti i file SGID (set user ID) di proprietà della root e controllare se ci sono voci impreviste negli elenchi, utilizzeremo il seguente comando:

Chkrootkit

Rootkit sono una delle cose peggiori che possono capitare a un sistema e sono uno degli attacchi più pericolosi, più pericolosi di malware e virus, sia per i danni che provocano al sistema sia per la difficoltà nel trovarli e rilevarli.

Sono progettati in modo tale da rimanere nascosti e compiere azioni dannose come rubare carte di credito e informazioni bancarie online. Rootkit dai ai criminali informatici la possibilità di controllare il tuo sistema informatico. I rootkit aiutano anche l'attaccante a monitorare i tuoi tasti premuti e disabilitare il tuo software antivirus, il che rende ancora più facile rubare le tue informazioni private.

Questi tipi di malware possono rimanere sul tuo sistema per molto tempo senza che l'utente se ne accorga e possono causare seri danni. una volta che Rootkit viene rilevato, non c'è altro modo che reinstallare l'intero sistema. A volte questi attacchi possono persino causare guasti hardware.

Fortunatamente, ci sono alcuni strumenti che possono aiutare a rilevare Rootkit su sistemi Linux, come Lynis, Clam AV o LMD (Linux Malware Detect). Puoi controllare il tuo sistema per sapere Rootkit usando i comandi qui sotto.

Innanzitutto, installa Chkrootkit tramite il seguente comando:

Questo installerà il Chkrootkit attrezzo. Puoi utilizzare questo strumento per verificare la presenza di Rootkit tramite il seguente comando:

Il pacchetto Chkrootkit consiste in uno script di shell che controlla i binari di sistema per la modifica del rootkit, così come diversi programmi che controllano vari problemi di sicurezza. Nel caso precedente, il pacchetto ha verificato la presenza di un segno di Rootkit sul sistema e non ne ha trovati. Bene, questo è un buon segno!

Registri Linux

I log di Linux forniscono un calendario degli eventi sul framework e sulle applicazioni di lavoro di Linux e sono un importante strumento di indagine quando si verificano problemi. L'attività principale che un amministratore deve eseguire quando scopre che il sistema è compromesso dovrebbe essere l'analisi di tutti i record di registro.

Per problemi espliciti relativi all'applicazione dell'area di lavoro, i registri vengono tenuti in contatto con varie aree. Ad esempio, Chrome compone rapporti sugli arresti anomali per '~/.chrome/Rapporto sugli arresti anomali'), dove un'applicazione dell'area di lavoro compone i registri in base al tecnico e mostra se l'applicazione tiene conto della disposizione dei registri personalizzata custom. I record sono nel/var/log directory. Ci sono log Linux per tutto: framework, porzione, bundle chief, moduli di avvio, Xorg, Apache e MySQL. In questo articolo, il tema si concentrerà esplicitamente sui log del framework Linux.

È possibile passare a questo catalogo utilizzando l'ordine del compact disc. Dovresti avere i permessi di root per visualizzare o modificare i file di registro.

Istruzioni per visualizzare i log di Linux

Utilizzare i seguenti comandi per visualizzare i documenti di registro necessari.

I log di Linux possono essere visualizzati con il comando cd /var/log, a quel punto componendo l'ordine per vedere i log riposti sotto questo catalogo. Uno dei registri più significativi è il syslog, che registra molti registri importanti.

Per disinfettare l'output, utilizzeremo il "Di meno" comando.

Digita il comando var/log/syslog per vedere alcune cose sotto il file sysloglog. Concentrarsi su un particolare problema richiederà del tempo, poiché questo record sarà solitamente lungo will. Premi Maiusc+G per scorrere verso il basso nel record fino a FINE, indicato da "FINE"."

Puoi anche vedere i registri tramite dmesg, che stampa il supporto dell'anello parziale. Questa funzione stampa tutto e ti invia il più lontano possibile lungo il documento. Da quel momento, puoi utilizzare l'ordine dmesg | Di meno per guardare attraverso il rendimento. Nel caso in cui tu abbia bisogno di vedere i log per un dato utente, dovrai eseguire il seguente comando:

In conclusione, puoi utilizzare l'ordine di coda per vedere i documenti di registro. È un'utilità piccola ma utile che si può usare, in quanto viene utilizzata per mostrare l'ultima parte dei registri, dove si è verificato il problema più probabilmente. Puoi anche specificare il numero di ultimi byte o righe da mostrare nel comando tail. Per questo, usa il comando tail /var/log/syslog. Ci sono molti modi per guardare i log.

Per un determinato numero di righe (il modello considera le ultime 5 righe), inserisci il seguente comando:

Questo stamperà le ultime 5 righe. Quando arriverà un'altra linea, la prima verrà evacuata. Per allontanarti dall'ordine di coda, premi Ctrl+X.

Registri importanti di Linux

I quattro registri principali di Linux includono:

1. Registri dell'applicazione
2. Registri eventi
3. Registri di servizio
4. Registri di sistema

• /var/log/syslog o /var/log/messaggi: messaggi generali, così come i dati relativi al framework. Questo registro memorizza tutte le informazioni sull'azione nel framework mondiale.

• /var/log/auth.log o /var/log/secure: memorizzare i registri di verifica, inclusi accessi efficaci e non riusciti e strategie di convalida. Uso di Debian e Ubuntu /var/log/auth.log per memorizzare i tentativi di accesso, mentre Redhat e CentOS utilizzano /var/log/secure per memorizzare i log di autenticazione.

• /var/log/boot.log: contiene informazioni sull'avvio e messaggi durante l'avvio.

• /var/log/maillog o /var/log/mail.registro: memorizza tutti i log identificati con i server di posta; prezioso quando hai bisogno di dati su postfix, smtpd o qualsiasi amministrazione relativa alla posta elettronica in esecuzione sul tuo server.

• /var/log/kern: contiene informazioni sui log del kernel. Questo registro è importante per indagare su porzioni personalizzate.

• /var/log/dmesg: contiene messaggi che identificano i driver del gadget. L'ordine dmesg può essere utilizzato per vedere i messaggi in questo record.

• /var/log/faillog: contiene i dati su tutti i tentativi di accesso falliti, utili per raccogliere bit di conoscenza sui tentativi di penetrazione della sicurezza; ad esempio, coloro che cercano di violare le certificazioni di accesso, proprio come gli attacchi di potere animale.

• /var/log/cron: memorizza tutti i messaggi relativi a Cron; impieghi cron, ad esempio, o quando il demone cron ha iniziato una vocazione, relativi messaggi di delusione e così via.

• /var/log/yum.log: nel caso in cui si introducano bundle utilizzando l'ordine yum, questo registro memorizza tutti i dati correlati, che possono essere utili per decidere se un bundle e tutti i segmenti sono stati effettivamente introdotti.

• /var/log/httpd/ o /var/log/apache2: queste due directory vengono utilizzate per memorizzare tutti i tipi di log per un server HTTP Apache, inclusi i log di accesso e i log di errore. Il file error_log contiene tutte le richieste errate ricevute dal server http. Questi errori includono problemi di memoria e altri errori relativi al framework. L'access_log contiene un record di tutte le sollecitazioni ricevute tramite HTTP.

• /var/log/mysqld.log o/var/log/mysql.log : il documento di log di MySQL che registra tutti i messaggi di errore, debug e successo. Questa è un'altra occorrenza in cui il framework indirizza al registro; RedHat, CentOS, Fedora e altri framework basati su RedHat usano/var/log/mysqld.log, mentre Debian/Ubuntu utilizza /var/log/mysql.catalogo dei registri.

Strumenti per visualizzare i log di Linux

Oggi sono disponibili molti tracker di log open source e dispositivi di esame, che rendono la scelta delle risorse corrette per i log delle azioni più semplice di quanto si possa sospettare. I correttori di log gratuiti e open source possono funzionare su qualsiasi sistema per portare a termine il lavoro. Ecco cinque dei migliori che ho utilizzato in passato, senza un ordine specifico.

• GREYLOG

Avviato in Germania nel 2011, Graylog è ora offerto come dispositivo open source o come accordo commerciale. Graylog è concepito per essere un framework integrato e log-the-board che riceve flussi di informazioni da diversi server o endpoint e consente di esaminare rapidamente o abbattere tali dati.

Graylog ha accumulato una notorietà positiva tra le teste dei framework grazie alla sua semplicità e versatilità. La maggior parte delle iniziative web inizia poco, ma può svilupparsi in modo esponenziale. Graylog può regolare gli stack su un sistema di server di backend e gestire alcuni terabyte di informazioni di registro ogni giorno.

I presidenti IT vedranno il front-end dell'interfaccia GrayLog semplice da utilizzare e vigoroso nella sua utilità. Graylog lavora attorno all'idea di dashboard, che consente agli utenti di scegliere il tipo di misurazioni o fonti di informazioni che ritengono importanti e osservare rapidamente le pendenze dopo un po' di tempo.

Quando si verifica un episodio di sicurezza o di esecuzione, i presidenti IT devono avere la possibilità di seguire le manifestazioni a un driver sottostante il più rapidamente possibile. La funzione di ricerca di Graylog semplifica questo compito. Questo strumento ha funzionato per adattarsi al fallimento interno che può eseguire iniziative a più corde in modo da poter abbattere alcuni potenziali pericoli insieme.

• NAGIOS

Avviato da un singolo sviluppatore nel 1999, Nagios da allora è diventato uno dei più solidi strumenti open source per la supervisione delle informazioni di registro. L'attuale versione di Nagios può essere implementata in server che eseguono qualsiasi tipo di sistema operativo (Linux, Windows, ecc.).

L'elemento essenziale di Nagios è un server di log, che semplifica l'assortimento di informazioni e rende i dati progressivamente disponibili ai quadri dirigenti framework. Il motore del server di log Nagios catturerà le informazioni gradualmente e le inserirà in uno strumento di ricerca innovativo ground. L'integrazione con un altro endpoint o applicazione è una semplice gratuità per questa procedura guidata di disposizione intrinseca.

Nagios è spesso utilizzato in associazioni che hanno bisogno di controllare la sicurezza dei loro quartieri e possono esaminare una serie di occasioni relative al sistema per aiutare a automatizzare la trasmissione delle avvertenze. Nagios può essere programmato per eseguire attività specifiche quando viene soddisfatta una determinata condizione, il che consente agli utenti di rilevare i problemi anche prima che vengano incluse le esigenze di un essere umano.

Come aspetto importante della valutazione del sistema, Nagios canalizzerà le informazioni di registro in base all'area geografica in cui inizia. Dashboard complete con innovazione di mappatura possono essere implementate per vedere lo streaming del traffico web.

• LOGALIZZA

Logalyze produce strumenti open source per direttori di framework o amministratori di sistema e specialisti della sicurezza per assisterli nella supervisione dei log del server e consentire loro di concentrarsi sulla trasformazione dei log in informazioni preziose. L'elemento essenziale di questo strumento è che è accessibile come download gratuito per uso domestico o aziendale.

L'elemento essenziale di Nagios è un server di registro, che semplifica l'assortimento di informazioni e rende i dati progressivamente disponibili ai dirigenti della struttura. Il motore del server di log Nagios catturerà le informazioni gradualmente e le inserirà in uno strumento di ricerca innovativo ground. L'integrazione con un altro endpoint o applicazione è una semplice gratuità per questa procedura guidata di disposizione intrinseca.

Nagios è spesso utilizzato in associazioni che hanno bisogno di controllare la sicurezza dei loro quartieri e possono esaminare una serie di occasioni relative al sistema per aiutare a automatizzare la trasmissione delle avvertenze. Nagios può essere programmato per eseguire attività specifiche quando viene soddisfatta una determinata condizione, il che consente agli utenti di rilevare i problemi anche prima che vengano incluse le esigenze di un essere umano.

Come aspetto importante della valutazione del sistema, Nagios canalizzerà le informazioni di registro in base all'area geografica in cui inizia. Dashboard complete con innovazione di mappatura possono essere implementate per vedere lo streaming del traffico web.

Cosa dovresti fare se sei stato compromesso?

La cosa principale è non farsi prendere dal panico, in particolare se la persona non autorizzata ha effettuato l'accesso in questo momento. Dovresti avere la possibilità di riprendere il controllo della macchina prima che l'altra persona sappia che ne sei a conoscenza. Nel caso in cui sappiano che sei consapevole della loro presenza, l'attaccante potrebbe tenerti fuori dal tuo server e iniziare a distruggere il tuo sistema. Se non sei così tecnico, tutto ciò che devi fare è spegnere immediatamente l'intero server. Puoi spegnere il server tramite i seguenti comandi:

O

Un altro modo per farlo è accedere al pannello di controllo del tuo provider di hosting e chiuderlo da lì. Una volta che il server è spento, puoi lavorare sulle regole del firewall necessarie e consultare chiunque per assistenza nel tuo tempo libero.

Nel caso in cui ti senti più sicuro e il tuo provider di hosting ha un firewall upstream, crea e abilita le seguenti due regole:

• Consenti traffico SSH solo dal tuo indirizzo IP.
• Blocca tutto il resto, non solo SSH ma ogni protocollo in esecuzione su ogni porta.

Per verificare la presenza di sessioni SSH attive, utilizzare il seguente comando:

Usa il seguente comando per terminare la loro sessione SSH: