Il s'agit d'une réécriture de mon message précédent, car ce que j'essayais de faire n'était pas tout à fait clair. J'espère que cela aura plus de sens :)
En bref, ce que je recherche, ce sont des méthodes alternatives pour détecter si mon système est compromis au-delà de l'utilisation d'outils tels que tripwire/OSSEC/samhain/rkhunter et de la simple vérification générale de l'intégrité des fichiers et de la surveillance des journaux. J'essaie délibérément de ne pas être trop précis dans ma question car je cherche des idées en général pour pouvoir les mettre en œuvre sur ma propre machine. Ce sera probablement, mais pas limité à un script qui est exécuté à intervalles fixes (cronjob) et notifie l'administrateur si quelque chose a changé et invite un administrateur à enquêter davantage via (syslog / e-mail ?). Notez que je ne suis pas nécessairement après le code lui-même juste un aperçu de haut niveau de ce qu'il fait. N'hésitez pas à être aussi verbeux que vous le souhaitez.
Je peux vous donner une idée générale des idées que je recherche en énumérant les choses que je fais actuellement.
1) Générer un md5sum de la sortie de mon iptables en cours d'exécution et le comparer à un bon hash connu. Si cela change, on peut supposer que quelqu'un a ajouté/supprimé une entrée iptables.
2) J'ai certains points de montage qui sont en lecture seule (/usr, /boot etc.) parce qu'ils ne devraient pas changer très souvent. Si une partition passe de lecture seule à écriture, je veux en être informé.
3) Surveillez la sortie de netstat pour les services d'écoute uniquement. Effectuez une comparaison de fichiers (diff) par rapport à un fichier contenant de bonnes valeurs connues. Si quelque chose a été ajouté, il est possible que quelqu'un ait ajouté un nouveau service au système. Une porte dérobée possible ?
Notez que ce qui précède va générer des faux positifs si je fais de la maintenance système. Cependant, si ces données changent alors que je ne suis pas en train de le faire, je les considèrerais comme suspectes et j'enquêterais davantage. Notez qu'il ne s'agit que d'exemples et qu'il y a des défauts comme partout, mais plus il y a d'obstacles, plus les chances que quelqu'un trébuche sont élevées.
Merci d'avance.
