Jak zjistit, zda je systém Linux kompromitován

Tento příkaz zobrazí historii příkazů čtením souboru .historie bash v /Domov složka daného uživatele. Opatrně hledejte wget, kučera, nebo netcat příkazy, v případě, že útočník použil tyto příkazy k přenosu souborů nebo k instalaci mimo repo nástroje, jako jsou kryptoměnáři nebo spamoví roboti.

Podívejte se na níže uvedený příklad:

Nahoře vidíte příkaz "wget https: // github.com / sajith / mod-rootme.“ V tomto příkazu se hacker pokusil o přístup k souboru mimo repo pomocí wget stáhnout backdoor s názvem „mod-root me“ a nainstalovat jej do vašeho systému. Tento příkaz v historii znamená, že systém je kompromitován a byl backdoorován útočníkem.

Pamatujte, že tento soubor lze snadno vyloučit nebo vyrobit jeho látku. Data zadaná tímto příkazem nesmí být brána jako jednoznačná realita. Přesto v případě, že útočník spustil „špatný“ příkaz a zanedbal evakuaci historie, bude tam.

Cron Jobs

Úlohy Cron mohou sloužit jako důležitý nástroj, pokud jsou nakonfigurovány pro nastavení reverzního shellu na útočníkovém stroji. Úpravy úloh cron jsou důležitou dovedností, stejně jako umět je zobrazit.

K zobrazení úloh cron spuštěných pro aktuálního uživatele použijeme následující příkaz:

K zobrazení úloh cron spuštěných pro jiného uživatele (v tomto případě Ubuntu) použijeme následující příkaz:

Chcete-li zobrazit denní, hodinové, týdenní a měsíční úlohy cron, použijeme následující příkazy:

Denní úlohy Cron:

Hodinové úlohy Cron:

Týdenní úlohy Cron:

Vezměte si příklad:

Útočník může umístit úlohu cronu / etc / crontab který spouští škodlivý příkaz každou minutu o 10 minut. Útočník může také spustit škodlivou službu nebo reverzní shell backdoor prostřednictvím netcat nebo nějaký jiný nástroj. Když spustíte příkaz $ ~ crontab -l, uvidíte úlohu cron spuštěnou pod:

Chcete-li správně zkontrolovat, zda byl váš systém napaden, je také důležité zobrazit běžící procesy. Existují případy, kdy některé neoprávněné procesy nespotřebovávají dostatečné využití CPU, aby byly uvedeny v seznamu horní příkaz. To je místo, kde použijeme ps příkaz pro zobrazení všech aktuálně spuštěných procesů.

První sloupec zobrazuje uživatele, druhý sloupec zobrazuje jedinečné ID procesu a využití procesoru a paměti se zobrazuje v dalších sloupcích.

Tato tabulka vám poskytne nejvíce informací. Měli byste zkontrolovat každý spuštěný proces a vyhledat něco zvláštního, abyste věděli, zda je systém napaden nebo ne. V případě, že zjistíte něco podezřelého, vygooglete to nebo spusťte pomocí také příkaz, jak je uvedeno výše. To je dobrý zvyk běžet ps příkazy na vašem serveru a zvýší se vaše šance na nalezení něčeho podezřelého nebo mimo vaši každodenní rutinu.

/ etc / passwd

The / etc / passwd soubor sleduje každého uživatele v systému. Toto je dvojtečka oddělená soubor obsahující informace, jako je uživatelské jméno, uživatelské jméno, šifrované heslo, GroupID (GID), celé jméno uživatele, domovský adresář uživatele a přihlašovací shell.

Pokud útočník pronikne do vašeho systému, existuje možnost, že vytvoří několik dalších uživatelů, aby oddělil věci nebo vytvořil backdoor ve vašem systému, aby se mohl pomocí tohoto backdooru dostat zpět. Při kontrole, zda byl váš systém napaden, byste měli také ověřit každého uživatele v souboru / etc / passwd. Zadejte následující příkaz:

Tento příkaz vám poskytne výstup podobný tomuto níže:

Nyní budete chtít vyhledat libovolného uživatele, kterého si nejste vědomi. V tomto příkladu můžete vidět uživatele v souboru s názvem „anonymous“.„Další důležitá věc, kterou je třeba si uvědomit, je, že pokud útočník vytvořil uživatele, pomocí kterého se bude moci znovu přihlásit, bude mu také přiřazen shell„ / bin / bash “. Vyhledávání tedy můžete zúžit grepováním následujícího výstupu:

Chcete-li zpřesnit svůj výstup, můžete provést další „bash magii“.

Nalézt

Časové vyhledávání je užitečné pro rychlé třídění. Uživatel může také upravit časová razítka pro změnu souboru. Chcete-li zlepšit spolehlivost, zahrňte do kritérií ctime, protože je mnohem těžší s ním manipulovat, protože vyžaduje úpravy některých souborů úrovně.

K vyhledání souborů vytvořených a upravených za posledních 5 dní můžete použít následující příkaz:

K vyhledání všech souborů SUID vlastněných rootem a ke kontrole, zda v seznamech nejsou nějaké neočekávané položky, použijeme následující příkaz:

Chcete-li najít všechny soubory SGID (nastavit ID uživatele) vlastněné rootem a zkontrolovat, zda v seznamech nejsou nějaké neočekávané položky, použijeme následující příkaz:

Chkrootkit

Rootkity jsou jednou z nejhorších věcí, které se v systému mohou stát, a jsou jedním z nejnebezpečnějších útoků, nebezpečnějších než malware a viry, a to jak z hlediska poškození, které systému způsobují, tak z hlediska obtížnosti jejich nalezení a detekce.

Jsou navrženy tak, aby zůstaly skryté a dělaly škodlivé věci, jako je krádež kreditních karet a online bankovnictví. Rootkity Dejte počítačovým zločincům možnost ovládat váš počítačový systém. Rootkity také pomáhají útočníkovi sledovat vaše stisknutí kláves a deaktivovat antivirový software, což ještě více usnadňuje krádež vašich soukromých informací.

Tyto typy malwaru mohou zůstat ve vašem systému po dlouhou dobu, aniž by si toho uživatel vůbec všiml, a mohou způsobit vážné škody. Jednou Rootkit je detekován, neexistuje jiný způsob, než přeinstalovat celý systém. Někdy mohou tyto útoky způsobit i selhání hardwaru.

Naštěstí existují některé nástroje, které mohou pomoci detekovat Rootkity v systémech Linux, jako jsou Lynis, Clam AV nebo LMD (Linux Malware Detect). Můžete zkontrolovat, zda váš systém není znám Rootkity pomocí níže uvedených příkazů.

Nejprve nainstalujte Chkrootkit pomocí následujícího příkazu:

Tím se nainstaluje Chkrootkit nářadí. Tento nástroj můžete použít ke kontrole Rootkitů pomocí následujícího příkazu:

Balíček Chkrootkit se skládá z shellového skriptu, který kontroluje systémové binární soubory, zda neobsahuje rootkit, a několika programů, které kontrolují různé bezpečnostní problémy. Ve výše uvedeném případě balíček zkontroloval, zda v systému není známka Rootkitu, a nenašel žádný. To je dobré znamení!

Protokoly systému Linux

Protokoly Linuxu poskytují harmonogram událostí v pracovním rámci a aplikacích Linuxu a jsou důležitým vyšetřovacím nástrojem, když narazíte na problémy. Primární úkol, který musí administrátor provést, když zjistí, že je systém ohrožen, by měl rozebrat všechny záznamy protokolu.

U problémů s explicitní aplikací pracovní oblasti se záznamy protokolu udržují v kontaktu s různými oblastmi. Například Chrome sestavuje zprávy o selhání do '~ /.chrome / Crash Reports '), kde aplikace v pracovní oblasti sestavuje protokoly závislé na inženýrovi a ukazuje, zda aplikace zohledňuje vlastní uspořádání protokolu. Záznamy jsou v/ var / log adresář. Existují linuxové protokoly pro všechno: framework, part, šéfové balíčků, bootovací formuláře, Xorg, Apache a MySQL. V tomto článku se téma výslovně soustředí na protokoly rámce Linuxu.

Do tohoto katalogu můžete přejít pomocí objednávky kompaktních disků. K prohlížení nebo změně souborů protokolu byste měli mít oprávnění root.

Pokyny k zobrazení protokolů systému Linux

K zobrazení potřebných dokumentů protokolu použijte následující příkazy.

Linuxové protokoly lze zobrazit pomocí příkazu cd / var / log, v tom okamžiku vytvořením objednávky, abyste viděli protokoly odložené v tomto katalogu. Jedním z nejvýznamnějších protokolů je syslog, který zaznamenává mnoho důležitých protokolů.

K dezinfekci výstupu použijeme „méně" příkaz.

Zadejte příkaz var / log / syslog vidět pár věcí pod soubor syslog. Zaměření na konkrétní problém bude nějakou dobu trvat, protože tento záznam bude obvykle dlouhý. Stisknutím Shift + G se v záznamu posunete dolů na KONEC, označený „KONEC.“

Rovněž můžete vidět protokoly pomocí dmesg, který vytiskne podporu dílčího kroužku. Tato funkce vytiskne vše a pošle vás po dokumentu co nejdále. Od tohoto okamžiku můžete objednávku využít dmesg | méně prohlédnout výnos. V případě, že potřebujete zobrazit protokoly pro daného uživatele, budete muset spustit následující příkaz:

Závěrem můžete využít pořadí ocasu k prohlížení protokolů. Je to malý, ale užitečný nástroj, který lze použít, protože se používá k zobrazení poslední části protokolů, kde s největší pravděpodobností došlo k problému. Můžete také určit počet posledních bajtů nebo řádků, které se mají zobrazit v příkazu ocas. K tomu použijte příkaz ocas / var / log / syslog. Existuje mnoho způsobů, jak se na protokoly dívat.

Pro určitý počet řádků (model zohledňuje posledních 5 řádků) zadejte následující příkaz:

Tím se vytiskne posledních 5 řádků. Když přijde další linka, první bude evakuována. Chcete-li se dostat pryč od pořadí ocasu, stiskněte Ctrl + X.

Důležité protokoly Linuxu

Mezi primární čtyři protokoly systému Linux patří:

1. Protokoly aplikací
2. Protokoly událostí
3. Servisní protokoly
4. Systémové protokoly

• / var / log / syslog nebo / var / log / zprávy: obecné zprávy, stejně jako data související s rámcem. Tento protokol ukládá všechny informace o akci přes celosvětový rámec.

• / var / log / autorizace.log nebo / var / log / zabezpečit: ukládat ověřovací protokoly, včetně účinných i zkreslených přihlašovacích údajů a ověřovacích strategií. Debian a Ubuntu / var / log / autorizace.log ukládat pokusy o přihlášení, zatímco Redhat a CentOS používají / var / log / zabezpečit k ukládání protokolů ověřování.

• / var / log / boot.log: obsahuje informace o bootování a zprávách během spouštění.

• / var / log / maillog nebo / var / log / mail.log: ukládá všechny protokoly identifikované poštovními servery; cenné, když potřebujete data o postfixu, smtpd nebo jakýchkoli e-mailových správách běžících na vašem serveru.

• / var / log / kern: obsahuje informace o protokolech jádra. Tento protokol je důležitý pro vyšetřování vlastních částí.

• / var / log / dmesg: obsahuje zprávy, které identifikují ovladače gadgetů. Pořadí dmesg lze použít k zobrazení zpráv v tomto záznamu.

• / var / log / faillog: obsahuje údaje o všech zmařených pokusech o přihlášení, které jsou cenné pro získání bitů znalostí o pokusech o penetraci zabezpečení; například ti, kteří se snaží hacknout přihlašovací osvědčení, stejně jako útoky zvířecí síly.

• / var / log / cron: ukládá všechny zprávy související s Cron; například zaměstnání cron, nebo když démon cron zahájil povolání, související zprávy o zklamání atd.

• / var / log / yum.log: při šanci, že zavedete balíčky využívající pořadí yum, tento protokol ukládá všechna související data, což může být užitečné při rozhodování, zda byl balíček a všechny segmenty účinně zavedeny.

• / var / log / httpd / nebo / var / log / apache2: tyto dva adresáře se používají k ukládání všech typů protokolů pro server Apache HTTP, včetně protokolů přístupu a protokolů chyb. Soubor error_log obsahuje všechny chybné požadavky přijaté serverem http. Tyto chyby zahrnují problémy s pamětí a další omyly související s rámcem. Access_log obsahuje záznam všech žádostí přijatých přes HTTP.

• / var / log / mysqld.log nebo/ var / log / mysql.log : dokument protokolu MySQL, který zaznamenává všechny zprávy o selhání, ladění a úspěchu. Toto je další výskyt, kdy rámec směřuje do registru; RedHat, CentOS, Fedora a další rámce založené na RedHat používají / var / log / mysqld.log, zatímco Debian / Ubuntu využívá / var / log / mysql.katalog deníků.

Nástroje pro prohlížení protokolů Linux

Dnes je k dispozici mnoho sledovačů protokolů a vyšetřovacích zařízení s otevřeným zdrojovým kódem, což usnadňuje výběr správných prostředků pro protokoly akcí, než byste mohli předpokládat. Bezplatný a otevřený zdroj Kontrola protokolu může pracovat na jakémkoli systému, aby dokončil práci. Zde je pět z nejlepších, které jsem v minulosti použil, v žádném konkrétním pořadí.

• GREYLOG

Společnost Graylog, která byla zahájena v Německu v roce 2011, je nyní nabízena buď jako zařízení s otevřeným zdrojovým kódem, nebo jako obchodní ujednání. Graylog je zamýšlen jako sdružený log-the-board framework, který přijímá informační toky z různých serverů nebo koncových bodů a umožňuje vám rychle si tato data prohlédnout nebo rozebrat.

Graylog díky své jednoduchosti a univerzálnosti vytvořil mezi hlavami rámců pozitivní proslulost. Většina webových podniků začíná málo, přesto se může vyvíjet exponenciálně. Graylog může upravovat hromádky v systému back-endových serverů a každý den zpracovávat několik terabajtů informací o protokolu.

Předsedové IT uvidí přední část rozhraní GrayLog jako snadno použitelnou a energicky použitelnou. Graylog pracuje na myšlence řídicích panelů, které uživatelům umožňují zvolit typ měření nebo zdroje informací, které považují za důležité, a po nějaké době rychle sledovat sklon.

Dojde-li k epizodě zabezpečení nebo spuštění, musí mít předsedové IT možnost sledovat projevy k podkladovému ovladači tak rychle, jak lze rozumně očekávat. Díky funkci vyhledávání Graylogu je tento úkol jednoduchý. Tento nástroj pracoval v adaptaci na vnitřní selhání, které může spustit vícevláknové podniky, takže můžete společně rozebrat několik potenciálních nebezpečí.

• NAGIOS

Společnost Nagios, kterou zahájil jediný vývojář v roce 1999, se od té doby stala jedním z nejpevnějších open source nástrojů pro dohled nad logovacími informacemi. Současné ztvárnění Nagiosu lze implementovat na serverech s libovolným operačním systémem (Linux, Windows atd.).).

Zásadní položkou společnosti Nagios je server protokolu, který zefektivňuje sortiment informací a data postupně zpřístupňuje vedoucím pracovníkům rámce. Motor serveru protokolu Nagios bude informace zachycovat postupně a přenášet je do průkopnického vyhledávacího nástroje. Začlenění do jiného koncového bodu nebo aplikace je jednoduchá odměna tomuto vlastnímu průvodce uspořádáním.

Nagios se často používá v asociacích, které potřebují prověřovat zabezpečení svých čtvrtí, a může zkontrolovat celou řadu příležitostí souvisejících se systémem, aby pomohl robotizovat přenos upozornění. Nagios lze naprogramovat tak, aby splňoval určité úkoly, když je splněna určitá podmínka, což umožňuje uživatelům detekovat problémy ještě před zahrnutím lidských potřeb.

Jako hlavní aspekt hodnocení systému bude Nagios směrovat informace o protokolu v závislosti na geografické oblasti, kde začíná. Lze implementovat kompletní řídicí panely s inovací mapování, abyste viděli streamování webového provozu.

• LOGALYZE

Logalyze vyrábí nástroje open source pro ředitele rámců nebo správce systémů a specialisty na zabezpečení, aby jim pomohli s dohledem nad protokoly serveru a umožnili jim soustředit se na transformaci protokolů na cenné informace. Podstatnou položkou tohoto nástroje je, že je přístupný jako soubor ke stažení zdarma pro domácí i firemní použití.

Zásadní položkou společnosti Nagios je server protokolu, který zefektivňuje sortiment informací a data postupně zpřístupňuje vedoucím pracovníkům rámce. Motor serveru Nagios log bude postupně získávat informace a přenášet je do průkopnického vyhledávacího nástroje. Začlenění do jiného koncového bodu nebo aplikace je jednoduchá odměna tomuto vlastnímu průvodce uspořádáním.

Nagios se často používá v asociacích, které potřebují prověřovat zabezpečení svých čtvrtí, a může zkontrolovat celou řadu příležitostí souvisejících se systémem, aby pomohl robotizovat přenos upozornění. Nagios lze naprogramovat tak, aby splňoval určité úkoly, když je splněna určitá podmínka, což umožňuje uživatelům detekovat problémy ještě před zahrnutím lidských potřeb.

Jako hlavní aspekt hodnocení systému bude Nagios směrovat informace o protokolu v závislosti na geografické oblasti, kde začíná. Lze implementovat kompletní řídicí panely s inovací mapování, abyste viděli streamování webového provozu.

Co byste měli dělat, pokud jste byli kompromitováni?

Hlavní věcí není panikařit, zvláště pokud je právě přihlášena neoprávněná osoba. Měli byste mít možnost převzít kontrolu nad strojem dříve, než druhá osoba zjistí, že o ní víte. V případě, že vědí, že jste si vědomi jejich přítomnosti, může vás útočník držet mimo váš server a začít ničit váš systém. Pokud nejste tak technický, pak musíte okamžitě vypnout celý server. Server můžete vypnout pomocí následujících příkazů:

Nebo

Další způsob, jak toho dosáhnout, je přihlásit se k ovládacímu panelu poskytovatele hostingu a odtud jej vypnout. Jakmile je server vypnutý, můžete pracovat na pravidlech brány firewall, která jsou potřebná, a konzultovat s kýmkoli pomoc ve svém vlastním čase.

V případě, že se cítíte sebejistěji a váš poskytovatel hostingu má bránu firewall proti proudu, vytvořte a povolte následující dvě pravidla:

• Povolte provoz SSH pouze z vaší adresy IP.
• Blokujte vše ostatní, nejen SSH, ale každý protokol běžící na každém portu.

Chcete-li zkontrolovat aktivní relace SSH, použijte následující příkaz:

Pomocí následujícího příkazu zabijte jejich relaci SSH: