Méthodes alternatives de détection de Linux pour détecter un hôte compromis

Vérification de rootkit avec rkhunter ou chkrootkit

Vous pouvez essayer Zabbix pour les services, la surveillance des journaux, l'intégrité des sommes de contrôle des fichiers et bien plus encore. Il est assez facile à installer et à configurer. Vous pouvez avoir besoin de le personnaliser pour vos besoins en ajoutant des logiciels tiers.

Je travaille beaucoup sur le projet OSSEC et je sais qu'il peut résoudre vos problèmes. Il n'est pas prêt à l'emploi, mais avec un peu d'ajustement, il fonctionnera.

Section 1 : Générer un md5sum des tables ip

L'une des nouvelles fonctionnalités d'OSSEC est le rapport sur la différence de la sortie de commande. Pour cela, il suffit d'ajouter ce qui suit dans votre etc/ossec.conf

<ossec_config> 
    <localfile> 
        <log_format>command</log_format>
        <command>iptables -L -n</command>
    </localfile>
</ossec_config>

Ensuite, créez une règle locale comme la suivante

<rule id="98989" level="10">
    <if_sid>530</if_sid>
    <match>ossec: output: iptables -L -n</match>
    <check_diff />
    <description>Change made to iptables</description>
</rule>

Pour plus de détails, voir http://www.ossec.net/doc/manual/monitoring/process-monitoring.html

Section 2 : avoir certains points de montage qui sont en lecture seule

Actuellement, rootcheck effectue quelques vérifications simples à cet effet, mais il est facile d'ajouter les vôtres.

Créez d'abord un fichier de politique de vérification des racines dans etc/shared/ pour cet exemple, je vais le nommer unix_mount_policy.txt avec le contenu suivant.

# This will make sure that the OS this file is used for pilicy is running redhat 
# and it should be changed for your environment 
[Policy - Check OS] [any required] [http://intranet.example.com/location/of/policy]
f:/etc/redhat-release -> r:^Red Hat Enterprise Linux \S+ release 5;
f:/etc/redhat-release -> r:^CentOS && r:release 5.2;

# First real rule
# This will alert if /usr does not have ro on the same line 
[Policy - Mounts read only] [any] [http://intranet.example.com/location/of/policy/readonly]
f:/etc/fstab ->  !r:^# && r:/usr && !r:ro

Section 3 : Surveiller la sortie de netstat pour les services d'écoute seulement

rootcheck exécute déjà cette fonction, mais si vous voulez voir si quelque chose change en utilisant le journal de sortie commun de ma réponse dans la section 1, cela devrait être très simple à configurer.