LiberFree
UNIX - Proteggersi dai rootkit con rkhunter
Inviato da VagaPPC
mercoledì 16 maggio 2007
Ultimo aggiornamento venerdì 08 giugno 2007
UNIX - Proteggersi dai rootkit con rkhunter Ultimamente si sente sempre più spesso parlare di rootkit. Molti utenti li
associano ha virus e con il solito risolino, si dicono: “queste sono cose che riguardano solo gli utenti Windows―. Anche se,
per ovvie limitazioni tecnologiche questo sistema è sicuramente più debole. Anche sotto UNIX possono esserci
intrusioni di file non desiderati.Cos'è un rootkit Un rootkit è per molti aspetti qualcosa di peggiore di un virus. Esso è
semplicemente un kit di programmi, che vengono installati sul nostro sistema, che predispongono un attacco in piena
regola. Aprendo delle backdoor e riconfigurando alcuni parametri del Sistema Operativo, per permettere uno sniffing
della rete, senza lasciare traccie e come ciliegina sulla torta raccolgono le password di sistema. Spianando la strada a
eventuali Attacker, permettendogli a accedere liberamente al nostro sistema. Per installarsi sfruttano qualunque cosa.
Dalle debolezze di alcune porte, fino hai bug di alcuni applicativi. La cosa più spiacevole è che non lasciano la minima
traccia, della loro presenza. Possono anche attivarsi ad una data prestabilita e non vengono rilevati da nessun
antivirus.Come tutelarsi Come è ovvio aspettarsi, la grande comunità Open Source non rimane di certo a dormire sugli
allori. Tra i vari rimedi segnaliamo rkhunter. Un programma rilasciato sotto licenza GPL. Quest'ultimo è un software
specifico per la rilevazione dei rootkit e di potenziali debolezze del sistema. Non ha un'interfaccia grafica, quindi lo si
può lanciare soltanto da shell e non ha un controllo in tempo reale del sistema. Effettua solamente una scansione dei
file e dei dispositivi di sistema. Lo si può installare sulla maggior parte degli UNIX in circolazione. Sviluppato e
supportato sotto tutti i xBSD ad eccezione di NetBSD dove c'è ancora qualche problema ad implementarlo. Funziona
sulla maggior parte delle distribuzioni Linux, Solaris e MacOSX. Riportiamo l'elenco degli UNIX sul quale è stata testata
la funzionalità : - AIX 4.1.5/4.3.3
- Alt Linux
- Aurora Linux
- CentOS 3.1/4.0
- Conectiva Linux 6.0
- Debian 3.x
- FreeBSD 4.3/4.4/4.7/4.8/4.9/4.10
- FreeBSD 5.0/5.1/5.2/5.2.1/5.3
- Fedora Core 1/Core 2/Core 3
- Gentoo 1.4, 2004.0, 2004.1
- Macintosh OS 10.3.4-10.3.8
- Mandrake 8.1/8.2/9.0-9.2/10.0/10.1
- OpenBSD 3.4/3.5
- Red Hat Linux 7.0-7.3/8/9
- Red Hat Enterprise Linux 2.1/3.0
- Slackware 9.0/9.1/10.0/10.1
- PMI 6.0
- Solaris (SunOS)
- SuSE 7.3/8.0-8.2/9.0-9.2
- Ubuntu
- Yellow Dog Linux 3.0/3.01
- DaNix (clone di Debian)
- PCLinuxOS
- VectorLinux SOHO 3.2/4.0
- CPUBuilders Linux
- Virtuozzo (VPS)La precedente lista è stata riportata dal sito del progetto. Molto probabilmente la lista dei sistemi sul
quale funziona realmente è più lunga.Installazione di rkhunterPer installare rkhunter, ci sono modalità differenti in base
al Sistema Operativo utilizzato. Una modalità valida per tutti i sistemi è semplicemente quella di scaricare i sorgenti e
ricompilarli, si raccomanda sempre la lettura dei file README. Troverete il link con la posizione del file in fondo
all'articolo. Chi possiede una distribuzione debian o derivata (come Ubuntu, Knoppix, ecc.) è sufficente digitare da root il
seguente comando:apt-get install rkhunter Gli utenti Ubuntu non avendo di default l'utenza di root dovranno
scrivere:sudo apt-get install rkhunterPer le distribuzioni come SuSE, RedHat o derivate, è consigliato usare i loro tool
specifici per l'installazione dei nuovi pacchetti.Gli utenti di xBSD potranno trovarlo nell'albero dei port o scaricarlo da
sysinstall.Ci scusiamo con i lettori per non aver illustrato tutte le possibili varianti di installazione.Prova su stradaUna
volta installato rkhunter, per aggiornare il suo database, da internet, sarà sufficiente scrivere:rkhunter –-updateMentre per
una scansione del sistema:rkhunter -c [–- createlogfile <file>][--skip-keypress]Senza l'opzione --createlogfile, loggherà di
default, tutto l'output nel file /var/log/rkhunter.log. Mentre l'opzione --skip-keypress serverà a evitare di premeri invio, alla
fine di ogni test. Una volta eseguito il programma scansionerà , prima tutti i comandi shell, in cerca di comandi modificati,
poi eventuali file o directory utilizzati dai rootkit conosciuti, i permessi dei comandi di root (per evitare che qualcuno li usi
da un qualsiasi utente), moduli del kernel, backdoors, parametri di rete e altre cosucce. ConclusioniSenza dubbio un
valido programma per difenderci, non solo dai rootkit, ma anche da eventuali debolezze del sistema. Consigliamo
vivamente di eseguirlo periodicamente, magari inserendolo nel crontab. Come sempre non è da considerarsi la
soluzione definitiva. Ma un valido alleato hai nostri controlli periodici del sistema.
http://vagappc.altervista.org
Realizzata con Joomla!
Generata: 1 June, 2017, 11:18
LiberFree
Collegamenti consigliati
Per aver maggiori informazioni, vi riportiamo il sito del progetto:http://www.rootkit.nl/
http://vagappc.altervista.org
Realizzata con Joomla!
Generata: 1 June, 2017, 11:18
