Как да определите дали дадена Linux система е компрометирана

Тази команда ще покаже историята на командите, като прочете файла .bash-история в /У дома папка на този потребител. Потърсете внимателно wget, къдрица, или netcat команди, в случай че нападателят е използвал тези команди за прехвърляне на файлове или за инсталиране извън инструменти за репо, като крипто-майнери или спам ботове.

Обърнете внимание на примера по-долу:

По-горе можете да видите командата „wget https: // github.com / sajith / mod-rootme.” В тази команда хакерът се опита да получи достъп до файл, който не е в репо, използвайки wget да изтеглите задната врата, наречена „mod-root me“, и да я инсталирате на вашата система. Тази команда в историята означава, че системата е компрометирана и е била backdoored от нападател.

Не забравяйте, че този файл може лесно да бъде изгонен или да бъде произведено неговото вещество. Данните, дадени от тази команда, не трябва да се приемат като определена реалност. И все пак, в случай че нападателят изпълни „лоша“ команда и пренебрегне да евакуира историята, той ще бъде там.

Крон Джобс

Cron заданията могат да служат като жизненоважен инструмент, когато са конфигурирани да настроят обратна черупка на атакуващата машина. Редактирането на cron работни места е важно умение, както и знанието как да ги видите.

За да видим заданията cron, изпълнявани за текущия потребител, ще използваме следната команда:

За да разгледаме заданията на cron, изпълнявани за друг потребител (в този случай Ubuntu), ще използваме следната команда:

За да преглеждаме ежедневни, почасови, седмични и месечни задания cron, ще използваме следните команди:

Ежедневни Cron работни места:

Почасови Cron работни места:

Седмични Cron работни места:

Вземете пример:

Нападателят може да постави cron работа / etc / crontab който изпълнява злонамерена команда 10 минути след всеки час. Атакуващият може също да стартира злонамерена услуга или обратна задна врата на черупката чрез netcat или някаква друга полезност. Когато изпълните командата $ ~ crontab -l, ще видите cron работа, работеща под:

За да проверите правилно дали вашата система е била компрометирана, също е важно да видите текущите процеси. Има случаи, когато някои неоторизирани процеси не консумират достатъчно използване на процесора, за да бъдат изброени в Горна част команда. Това е мястото, където ще използваме пс команда за показване на всички текущи процеси.

Първата колона показва потребителя, втората колона показва уникален идентификатор на процеса, а използването на процесора и паметта е показано в следващите колони.

Тази таблица ще ви предостави най-много информация. Трябва да проверите всеки работещ процес, за да потърсите нещо особено, за да разберете дали системата е компрометирана или не. В случай, че откриете нещо подозрително, потърсете го в Google или го стартирайте с също команда, както е показано по-горе. Това е добър навик за бягане пс команди на вашия сървър и това ще увеличи шансовете ви да откриете нещо подозрително или извън ежедневието ви.

/ и т.н. / passwd

The / и т.н. / passwd файл записва всеки потребител в системата. Това е файл, разделен с двоеточие, съдържащ информация като потребителско име, идентификатор на потребителя, криптирана парола, GroupID (GID), пълно име на потребител, домашна директория на потребителя и обвивка за вход.

Ако нападателят проникне във вашата система, има вероятност той или тя да създаде още няколко потребители, да държи нещата отделно или да създаде задната врата в системата ви, за да се върне обратно, използвайки тази задна врата. Докато проверявате дали вашата система е била компрометирана, трябва също да проверите всеки потребител във файла / etc / passwd. Въведете следната команда, за да го направите:

Тази команда ще ви даде изход, подобен на този по-долу:

Сега ще искате да потърсите всеки потребител, за когото не сте запознати. В този пример можете да видите потребител във файла с име „анонимен.”Друго важно нещо, което трябва да се отбележи, е, че ако нападателят е създал потребител, с който да влезе отново, потребителят също ще има присвоена черупка“ / bin / bash ”. Така че, можете да стесните търсенето, като хванете следния изход:

Можете да извършите допълнителна „баш магия“, за да прецизирате резултата си.

намирам

Търсенията въз основа на времето са полезни за бързо триаж. Потребителят може също така да променя времеви марки за промяна на файлове. За да подобрите надеждността, включете ctime в критериите, тъй като е много по-трудно да се подправя, защото изисква модификации на някои файлове на ниво.

Можете да използвате следната команда, за да намерите файлове, създадени и модифицирани през последните 5 дни:

За да намерим всички SUID файлове, притежавани от root, и да проверим дали има неочаквани записи в списъците, ще използваме следната команда:

За да намерим всички SGID (set user ID) файлове, притежавани от root, и да проверим дали в списъците има неочаквани записи, ще използваме следната команда:

Chkrootkit

Руткити са едно от най-лошите неща, които могат да се случат на системата и са една от най-опасните атаки, по-опасни от зловредния софтуер и вирусите, както по отношение на щетите, които причиняват на системата, така и при затрудненията при тяхното откриване.

Те са проектирани по такъв начин, че да останат скрити и да извършват злонамерени неща като кражба на кредитни карти и информация за онлайн банкиране. Руткити дайте възможност на киберпрестъпниците да контролират вашата компютърна система. Руткитите също помагат на нападателя да наблюдава натискането на клавишите ви и да деактивира вашия антивирусен софтуер, което прави още по-лесно кражбата на лична информация.

Тези видове зловреден софтуер могат да останат във вашата система дълго време, без потребителят дори да забележи, и могат да причинят сериозни щети. Веднъж Руткит е открит, няма друг начин освен да се преинсталира цялата система. Понякога тези атаки могат дори да причинят хардуерен отказ.

За щастие има някои инструменти, които могат да помогнат за откриване Руткити на Linux системи, като Lynis, Clam AV или LMD (Linux Malware Detect). Можете да проверите системата си за известни Руткити като използвате командите по-долу.

Първо инсталирайте Chkrootkit чрез следната команда:

Това ще инсталира Chkrootkit инструмент. Можете да използвате този инструмент, за да проверите за Rootkits чрез следната команда:

Пакетът Chkrootkit се състои от скрипт на обвивката, който проверява системните двоични файлове за модификация на руткит, както и няколко програми, които проверяват за различни проблеми със сигурността. В горния случай пакетът провери за признак на Rootkit в системата и не намери такъв. Е, това е добър знак!

Регистрационни файлове на Linux

Регистрационните файлове на Linux дават график на събитията в работната рамка и приложенията на Linux и са важен инструмент за разследване, когато имате проблеми. Основната задача, която администраторът трябва да изпълни, когато разбере, че системата е компрометирана, трябва да разчленява всички записи в дневника.

За изрични проблеми с приложението на работната зона, записите в дневника се поддържат в контакт с различни области. Например Chrome съставя отчети за сривове в '~ /.chrome / Crash Reports '), където приложението в работна област съставя регистрационни файлове, разчитащи на инженера, и показва дали приложението взема предвид персонализираната подредба на дневниците. Записите са в/ var / log директория. Има Linux дневници за всичко: фреймворк, порции, началници на пакети, форми за зареждане, Xorg, Apache и MySQL. В тази статия темата ще се концентрира изрично върху регистрационните дневници на Linux.

Можете да преминете към този каталог, като използвате реда на компактдисковете. Трябва да имате root права за преглед или промяна на регистрационни файлове.

Инструкции за преглед на дневници на Linux

Използвайте следните команди, за да видите необходимите документи в дневника.

Регистрационните файлове на Linux могат да се видят с командата cd / var / log, в този момент, като съставите поръчката, за да видите дневниците, прибрани под този каталог. Един от най-значимите регистрационни файлове е syslog, който регистрира много важни регистрационни файлове.

За да дезинфекцираме резултата, ще използваме „по-малко" команда.

Въведете командата var / log / syslog да видите доста неща под syslog файл. Фокусирането върху определен въпрос ще отнеме известно време, тъй като този запис обикновено е дълъг. Натиснете Shift + G, за да превъртите надолу в записа до END, означено с „END.”

Можете също така да видите регистрационните файлове с помощта на dmesg, който отпечатва опората на пръстена на частта. Тази функция отпечатва всичко и ви изпраща, доколкото е възможно, заедно с документа. От този момент можете да използвате поръчката dmesg | по-малко за да прегледаме добива. В случай, че трябва да видите регистрационните файлове за даден потребител, ще трябва да изпълните следната команда:

В заключение можете да използвате опашката, за да видите документите в дневника. Това е малка, но полезна програма, която човек може да използва, тъй като се използва за показване на последната част от регистрационните файлове, където проблемът най-вероятно е възникнал. Можете също така да посочите броя на последните байтове или редове, които да се показват в командата tail. За това използвайте командата tail / var / log / syslog. Има много начини да разглеждате регистрационните файлове.

За определен брой редове (моделът разглежда последните 5 реда) въведете следната команда:

Това ще отпечата последните 5 реда. Когато дойде друга линия, бившата ще бъде евакуирана. За да избягате от реда на опашката, натиснете Ctrl + X.

Важни дневници на Linux

Основните четири дневника на Linux включват:

1. Регистрационни файлове
2. Дневници на събитията
3. Сервизни дневници
4. Системни дневници

• / var / log / syslog или / var / log / messages: общи съобщения, точно като данни, свързани с рамката. Този дневник съхранява цялата информация за действията в световната рамка.

• / var / log / auth.дневник или / var / log / secure: съхранява регистрационни файлове за проверка, включително ефективни и неподготвени данни за вход и стратегии за валидиране. Използване на Debian и Ubuntu / var / log / auth.дневник за съхраняване на опити за влизане, докато Redhat и CentOS използват / var / log / secure за съхраняване на регистрационни файлове.

• / var / log / boot.дневник: съдържа информация за зареждане и съобщения по време на стартиране.

• / var / log / maillog или / var / log / mail.дневник: съхранява всички регистрационни файлове, идентифицирани с пощенски сървъри; ценно, когато имате нужда от данни за postfix, smtpd или някакви свързани с имейл администрации, работещи на вашия сървър.

• / var / log / kern: съдържа информация за дневниците на ядрото. Този дневник е важен за проучване на потребителски порции.

• / var / log / dmesg: съдържа съобщения, които идентифицират драйвери за притурки. Поръчката dmesg може да се използва, за да видите съобщенията в този запис.

• / var / log / faillog: съдържа данни за всички неуспешни опити за влизане, ценни за събиране на битове знания при опити за проникване на сигурност; например тези, които искат да хакнат сертификати за вход, точно като нападения с животинска сила.

• / var / log / cron: съхранява всички съобщения, свързани с Cron; например cron, или когато демонът cron е започнал призвание, свързани съобщения за разочарование и т.н.

• / var / log / yum.дневник: при изключения шанс да въведете пакети, използващи yum поръчката, този дневник съхранява всички свързани данни, което може да бъде полезно при решаването дали пакет и всички сегменти са били ефективно въведени.

• / var / log / httpd / или / var / log / apache2: тези две директории се използват за съхраняване на всички видове регистрационни файлове за Apache HTTP сървър, включително дневници за достъп и регистрационни файлове за грешки. Файлът error_log съдържа всички лоши заявки, получени от http сървъра. Тези грешки включват проблеми с паметта и други грешки, свързани с рамката. Дневникът на достъп съдържа запис на всички искания, получени чрез HTTP.

• / var / log / mysqld.дневник или/ var / log / mysql.дневник : регистрационният документ на MySQL, който регистрира всички съобщения за грешки, отстраняване на грешки и успех. Това е друго събитие, при което рамката насочва към регистъра; RedHat, CentOS, Fedora и други базирани на RedHat рамки използват / var / log / mysqld.log, докато Debian / Ubuntu използват / var / log / mysql.дневник каталог.

Инструменти за преглед на дневници на Linux

Днес има много проследяващи журнали и устройства за проверка с отворен код, което прави избора на правилните активи за регистрационните файлове по-лесен, отколкото може да подозирате. Безплатните и отворени кодове за регистрация могат да работят на всяка система, за да свършат работата. Ето пет от най-добрите, които съм използвал в миналото, без конкретен ред.

• СИВИ ЛОГ

Започнал в Германия през 2011 г., в момента Graylog се предлага като устройство с отворен код или като бизнес споразумение. Graylog е предназначен да бъде обединена рамка за регистрация на борда, която приема информационни потоци от различни сървъри или крайни точки и ви позволява бързо да разглеждате или разбивате тези данни.

Graylog събра положителна известност сред рамковите глави в резултат на своята простота и гъвкавост. Повечето уеб начинания започват малко, но все пак могат да се развиват експоненциално. Graylog може да коригира стекове върху система от бекенд сървъри и да обработва няколко терабайта дневник информация всеки ден.

Председателите на ИТ ще видят предния край на интерфейса на GrayLog толкова лесен за използване и енергичен в своята полезност. Graylog заобикаля идеята за таблата, което позволява на потребителите да избират вида на измерванията или източниците на информация, които намират за важни, и бързо да наблюдават наклоните след известно време.

Когато настъпи епизод за сигурност или екзекуция, председателите на ИТ трябва да имат възможност да проследяват проявите до основния драйвер възможно най-бързо, колкото може да се очаква разумно. Функцията за търсене на Graylog прави тази задача лесна. Този инструмент е работил в адаптацията към вътрешни откази, които могат да стартират многобройни начинания, така че да можете да разбиете няколко потенциални опасности заедно.

• НАГИОС

Започнат от един разработчик през 1999 г., Nagios оттогава напредва в един от най-солидните инструменти с отворен код за надзор на информацията в дневника. Настоящото предаване на Nagios може да бъде внедрено в сървъри, работещи с всякакъв вид операционна система (Linux, Windows и др.).

Основният елемент на Nagios е лог сървър, който рационализира асортимента от информация и прави данните постепенно достъпни за ръководителите на рамки. Двигателят на сървъра на Nagios ще улавя информацията постепенно и ще я подава в новаторски инструмент за търсене. Включването с друга крайна точка или приложение е проста бакшиш за този присъщ съветник за подреждане.

Nagios често се използва в асоциации, които трябва да проверят сигурността на своите квартали и могат да прегледат обхвата на свързаните със системата случаи, за да помогнат за роботизиране на предупрежденията. Nagios може да бъде програмиран да изпълнява конкретни задачи, когато е изпълнено определено условие, което позволява на потребителите да откриват проблеми дори преди да бъдат включени човешките нужди.

Като основен аспект на оценяването на системата, Nagios ще канализира регистрационна информация в зависимост от географския район, от който започва. Пълни табла за управление с иновации за картографиране могат да бъдат приложени, за да видите поточното предаване на уеб трафика.

• ЛОГАЛИЗ

Logalyze произвежда инструменти с отворен код за рамкови директори или системни администратори и специалисти по сигурността, за да им помогне с надзора на сървърните регистрационни файлове и да им позволи да се съсредоточат върху трансформирането на дневниците в ценна информация. Основният елемент на този инструмент е, че е достъпен като безплатно изтегляне за домашна или бизнес употреба.

Основният елемент на Nagios е лог сървър, който рационализира асортимента от информация и прави данните постепенно достъпни за ръководителите на рамки. Двигателят на сървъра на Nagios ще улавя информацията постепенно и ще я подава в новаторски инструмент за търсене. Включването с друга крайна точка или приложение е проста бакшиш за този присъщ съветник за подреждане.

Nagios често се използва в асоциации, които трябва да проверят сигурността на своите квартали и могат да прегледат обхвата на свързаните със системата случаи, за да помогнат за роботизиране на предупрежденията. Nagios може да бъде програмиран да изпълнява конкретни задачи, когато е изпълнено определено условие, което позволява на потребителите да откриват проблеми дори преди да бъдат включени човешките нужди.

Като основен аспект на оценяването на системата, Nagios ще канализира регистрационна информация в зависимост от географския район, от който започва. Пълни табла за управление с иновации за картографиране могат да бъдат внедрени, за да видите поточното предаване на уеб трафика.

Какво трябва да направите, ако сте били компрометирани?

Основното нещо е да не се паникьосвате, особено ако неупълномощеното лице е влязло в системата точно сега. Трябва да имате възможност да поемете обратно контрола върху машината, преди другият да разбере, че знаете за тях. В случай, че те знаят, че сте наясно с тяхното присъствие, нападателят може да ви предпази от сървъра и да започне да унищожава вашата система. Ако не сте толкова техничен, тогава всичко, което трябва да направите, е да изключите незабавно целия сървър. Можете да изключите сървъра чрез следните команди:

Или

Друг начин да направите това е като влезете в контролния панел на вашия доставчик на хостинг услуги и го изключите оттам. След като сървърът е изключен, можете да работите по правилата на защитната стена, които са необходими, и да се консултирате с всеки за съдействие в собствено време.

В случай, че се чувствате по-уверени и вашият хостинг доставчик има защитна стена нагоре по веригата, създайте и активирайте следните две правила:

• Разрешете SSH трафик само от вашия IP адрес.
• Блокирайте всичко останало, не само SSH, но и всеки протокол, работещ на всеки порт.

За да проверите за активни SSH сесии, използвайте следната команда:

Използвайте следната команда, за да убиете тяхната SSH сесия: