Machines virtuelles - Est-il possible de restaurer le noyau de remplacement sans le reconstruire ?

Tout d'abord, vous devez savoir exactement ce qui a été modifié sans votre permission. Si je devais concevoir un système comme celui que vous voulez, je le ferais :

• Maintenir les hachages cryptographiques des fichiers du noyau en cours d'exécution, qui consistent en le contenu de /boot sur mon système Ubuntu
• Maintenir les hachages de toutes les bibliothèques, applications, binaires, etc. installés sur le système qui ne font pas partie des applications écrites en interne déployées.
• Faites maintenir ces hachages hors machine et comparez-les fréquemment.
• Sachez que les mises à niveau déclencheront des alertes, et résolvez-les manuellement.

Ou bien, je choisirais une approche beaucoup plus simple, qui consiste à disposer d'un moyen de recréer rapidement une nouvelle VM, sans configuration manuelle (Chef, Puppet, etc.), puis de déployer rapidement et facilement mes applications personnalisées (principalement des applications web dans mon cas et des contenus de bases de données) sur la nouvelle VM.

Je pense que s'il est possible de faire tout ce qui précède, et que cela peut vous aider à détecter quand quelque chose a changé, ce qui est essentiel pour savoir que vous avez été compromis, il est beaucoup plus difficile d'être capable de défaire ces changements de manière reproductible, au milieu d'un désastre. Conserver toute la configuration de la machine dans un système de création de machines comme Chef vous permet de faire tourner une nouvelle machine virtuelle assez rapidement pour vous faire gagner beaucoup de temps au final.

Je ne suis pas d'accord. Je soupçonne que c'est l'espace utilisateur de l'invité VM qui a été compromis, plutôt que le noyau.

Dans tous les cas, vous ne saurez probablement jamais lequel c'était, donc la chose la plus sûre à faire est de le faire exploser depuis l'orbite.

Vous pouvez restaurer un snapshot antérieur à un état de la dernière configuration connue