Kaip nustatyti, ar „Linux“ sistema yra pažeista

Ši komanda parodys komandų istoriją skaitydama failą .bash-istorija viduje konors /namai aplanką. Atsargiai ieškokite wget, garbanoti, arba netcat komandos, jei užpuolikas naudojo šias komandas failams perkelti arba įdiegti išpirkimo įrankius, pvz., kriptografus ar šlamšto robotus.

Pažvelkite į toliau pateiktą pavyzdį:

Aukščiau galite pamatyti komandą „wget https: // github.com / sajith / mod-rootme.“ Šioje komandoje įsilaužėlis bandė pasiekti ne repo failą naudodamas wget atsisiųsti užpakalinę durį, vadinamą „mod-root me“, ir įdiegti ją į savo sistemą. Ši komanda istorijoje reiškia, kad sistema yra pažeista ir ją užpuolikas užpuolė.

Atminkite, kad šį failą galima lengvai pašalinti arba pagaminti jo medžiagą. Šios komandos pateikti duomenys neturi būti vertinami kaip tikroji tikrovė. Tačiau tuo atveju, jei užpuolikas vykdė „blogą“ komandą ir nepaisė evakuoti istorijos, jis bus ten.

Krono darbai

„Cron“ užduotys gali būti svarbiausias įrankis, kai jie sukonfigūruoti užpuoliko mašinoje nustatyti atvirkštinį apvalkalą. Redaguoti „Cron“ darbus yra svarbus įgūdis, taip pat žinoti, kaip į juos žiūrėti.

Norėdami peržiūrėti dabartinio vartotojo vykdomus „cron“ darbus, naudosime šią komandą:

Norėdami peržiūrėti „cron“ užduotis, vykdomas kitam vartotojui (šiuo atveju - „Ubuntu“), naudosime šią komandą:

Norėdami peržiūrėti dienos, valandos, savaitės ir mėnesio „cron“ užduotis, naudosime šias komandas:

Dienos „Cron“ darbai:

Valandos „Cron“ darbai:

Savaitės „Cron“ darbai:

Imk pavyzdį:

Užpuolikas gali įsidarbinti / etc / crontab 10 minučių kas valandą vykdanti kenkėjišką komandą. Užpuolikas taip pat gali paleisti kenkėjišką paslaugą arba atvirkštinį apvalkalo užpakalinį vartą netcat ar koks kitas įrankis. Kai vykdote komandą $ ~ crontab -l, pamatysite, kaip veikia „Cron“ darbas:

Norint tinkamai patikrinti, ar jūsų sistema nebuvo pažeista, taip pat svarbu peržiūrėti vykdomus procesus. Yra atvejų, kai kai kurie neleistini procesai sunaudoja nepakankamai procesoriaus, kad būtų įtraukti į viršuje komandą. Štai kur mes naudosime ps komandą parodyti visus šiuo metu vykstančius procesus.

Pirmajame stulpelyje rodomas vartotojas, antrame - unikalus proceso ID, o kituose stulpeliuose rodomas procesoriaus ir atminties naudojimas.

Ši lentelė pateiks jums daugiausiai informacijos. Turėtumėte patikrinti kiekvieną vykstantį procesą, norėdami sužinoti ką nors ypatingo, kad žinotumėte, ar sistema yra pažeista, ar ne. Jei jums atrodo kas nors įtartina, „Google“ arba paleiskite jį naudodami lsof komandą, kaip parodyta aukščiau. Tai yra geras įprotis bėgti ps komandas jūsų serveryje ir tai padidins jūsų galimybes rasti ką nors įtartino ar nepatenkinto į jūsų kasdienybę.

/ etc / passwd

The / etc / passwd failas stebi kiekvieną sistemos vartotoją. Tai yra dvitaškiais atskirtas failas, kuriame yra tokia informacija kaip vartotojo vardas, vartotojo vardas, užšifruotas slaptažodis, „GroupID“ (GID), visas vartotojo vardas, vartotojo namų katalogas ir prisijungimo apvalkalas.

Jei užpuolikas įsilaužia į jūsų sistemą, yra tikimybė, kad jis sukurs dar daugiau vartotojų, laikys dalykus atskirai arba sukurs jūsų sistemoje užpakalines duris, kad galėtų grįžti naudodamas šią užpakalinę dalį. Tikrindami, ar jūsų sistema pažeista, taip pat turėtumėte patikrinti kiekvieną vartotoją, esantį / etc / passwd faile. Norėdami tai padaryti, įveskite šią komandą:

Ši komanda suteiks jums išvestį, panašią į žemiau pateiktą:

Dabar norėsite ieškoti bet kurio vartotojo, apie kurį nežinote. Šiame pavyzdyje galite pamatyti vartotoją faile pavadinimu „anonimas."Kitas svarbus dalykas, kurį reikia atkreipti dėmesį į tai, kad jei užpuolikas sukūrė vartotoją, prie kurio prisijungti, vartotojui taip pat bus priskirtas apvalkalas" / bin / bash ". Taigi, galite susiaurinti paiešką, patraukdami šią išvestį:

Norėdami patobulinti savo išvestį, galite atlikti dar keletą „bash magic“.

Rasti

Laiku pagrįstos paieškos yra naudingos norint greitai įvertinti. Vartotojas taip pat gali modifikuoti failų keitimo laiko žymes. Norėdami padidinti patikimumą, į kriterijus įtraukite „ctime“, nes jį sugadinti yra daug sunkiau, nes tam reikia modifikuoti kai kurių lygių failus.

Norėdami rasti failus, sukurtus ir modifikuotus per pastarąsias 5 dienas, galite naudoti šią komandą:

Norėdami rasti visus SUID failus, priklausančius šakniui, ir patikrinti, ar sąrašuose nėra netikėtų įrašų, naudosime šią komandą:

Norėdami rasti visus SGID (nustatyti vartotojo ID) failus, priklausančius šakninei, ir patikrinti, ar sąrašuose nėra netikėtų įrašų, naudosime šią komandą:

Chkrootkit

Šaknies rinkiniai yra vienas blogiausių dalykų, kurie gali atsitikti sistemai ir yra vieni pavojingiausių išpuolių, pavojingesni už kenkėjiškas programas ir virusus, tiek dėl sistemos daromos žalos, tiek dėl sunkumų juos surasti ir aptikti.

Jie sukurti taip, kad liktų paslėpti ir atliktų kenkėjiškus veiksmus, pavyzdžiui, vagia kreditines korteles ir internetinės bankininkystės informaciją. Šaknies rinkiniai suteikti kibernetiniams nusikaltėliams galimybę valdyti kompiuterio sistemą. „Rootkits“ taip pat padeda užpuolikui stebėti jūsų klavišų paspaudimus ir išjungti antivirusinę programinę įrangą, o tai dar lengviau pavogti jūsų asmeninę informaciją.

Šio tipo kenkėjiškos programos gali ilgai likti jūsų sistemoje, vartotojui to net nepastebint, ir gali sukelti rimtą žalą. Kartą „Rootkit“ aptinkamas, nėra kito būdo, kaip tik iš naujo įdiegti visą sistemą. Kartais šios atakos gali sukelti aparatūros gedimą.

Laimei, yra keletas įrankių, kurie gali padėti aptikti Šaknies rinkiniai „Linux“ sistemose, tokiose kaip „Lynis“, „Clam AV“ arba LMD („Linux Malware Detect“). Galite patikrinti, ar jūsų sistema yra žinoma Šaknies rinkiniai naudodamiesi toliau pateiktomis komandomis.

Pirmiausia įdiekite Chkrootkit naudodami šią komandą:

Tai įdiegs Chkrootkit įrankis. Galite naudoti šį įrankį norėdami patikrinti, ar nėra „Rootkits“, naudodami šią komandą:

„Chkrootkit“ paketą sudaro „shell“ scenarijus, tikrinantis sistemos dvejetainius failus, ar nėra modifikuotų „rootkit“, ir kelios programos, tikrinančios įvairias saugos problemas. Minėtu atveju paketas patikrino sistemoje „Rootkit“ ženklą ir jo nerado. Na, tai yra geras ženklas!

„Linux Logs“

„Linux“ žurnalai pateikia „Linux“ darbo sistemos ir programų įvykių tvarkaraštį ir yra svarbi tyrimo priemonė, kai kyla problemų. Pagrindinė užduotis, kurią turi atlikti administratorius, sužinojęs, kad sistema pažeista, turėtų būti išsklaidyti visus žurnalo įrašus.

Sprendžiant konkrečias darbo srities taikymo srities problemas, žurnalų įrašai palaikomi palaikant ryšį su įvairiomis sritimis. Pavyzdžiui, „Chrome“ sudaro strigčių ataskaitas „~ /.chromo / gedimų ataskaitos “), kur darbo srities programa sudaro žurnalus remdamasi inžinieriumi ir parodo, ar programa atsižvelgia į pasirinktinį žurnalo išdėstymą. Įrašai yra/ var / log kataloge. Yra „Linux“ žurnalai viskam: „Framework“, „osa“, „bundle“ vadybininkams, įkrovos formoms, „Xorg“, „Apache“ ir „MySQL“. Šiame straipsnyje tema bus sutelkta tiesiai į „Linux“ pagrindų žurnalus.

Galite pakeisti šį katalogą naudodami kompaktinių diskų tvarką. Norėdami peržiūrėti arba keisti žurnalo failus, turite turėti root teises.

„Linux“ žurnalų peržiūros instrukcijos

Norėdami pamatyti reikalingus žurnalo dokumentus, naudokite šias komandas.

„Linux“ žurnalus galima matyti su komanda cd / var / log, tuo metu sudarydami tvarką pamatyti žurnalus, įdėtus po šiuo katalogu. Vienas iš reikšmingiausių žurnalų yra syslog, kuris registruoja daug svarbių žurnalų.

Norėdami išvalyti produkciją, mes naudosimemažiau “ komandą.

Įveskite komandą var / log / syslog pamatyti nemažai dalykų po syslog failas. Dėmesys konkrečiam klausimui užtruks šiek tiek laiko, nes šis įrašas paprastai bus ilgas. Paspauskite „Shift“ + G, kad slinktumėte žemyn įraše į END, pažymėtą „END.“

Taip pat galite pamatyti rąstus naudodami „dmesg“, kuris atspausdina detalės žiedo atramą. Ši funkcija atsispausdina viską ir išsiunčia jus kuo toliau palei dokumentą. Nuo to momento galite panaudoti užsakymą dmesg | mažiau peržvelgti derlingumą. Jei jums reikia matyti duoto vartotojo žurnalus, turėsite paleisti šią komandą:

Apibendrinant, galite naudoti uodegos tvarką norėdami pamatyti žurnalo dokumentus. Tai nedidelis, bet naudingas įrankis, kurį galima naudoti, nes jis naudojamas paskutinei rąstų daliai parodyti ten, kur greičiausiai kilo problema. Taip pat galite nurodyti paskutinių baitų ar eilučių skaičių, rodomą komandoje „tail“. Tam naudokite komandą tail / var / log / syslog. Yra daugybė būdų žiūrėti į žurnalus.

Tam tikram eilučių skaičiui (modelis atsižvelgia į paskutines 5 eilutes) įveskite šią komandą:

Tai atspausdins naujausias 5 eilutes. Kai ateis kita eilutė, buvusioji bus evakuota. Norėdami atsikratyti uodegos tvarkos, paspauskite „Ctrl“ + X.

Svarbūs „Linux“ žurnalai

Pagrindinius keturis „Linux“ žurnalus sudaro:

1. Programų žurnalai
2. Įvykių žurnalai
3. Aptarnavimo žurnalai
4. Sistemos žurnalai

• / var / log / syslog arba / var / log / messages: bendrieji pranešimai, kaip ir su sistema susiję duomenys. Šis žurnalas saugo visą informaciją apie veiksmus visame pasaulyje.

• / var / log / auth.žurnalas arba / var / log / secure: saugoti patvirtinimo žurnalus, įskaitant efektyvius ir fizinius prisijungimus bei patvirtinimo strategijas. „Debian“ ir „Ubuntu“ naudojimas / var / log / auth.žurnalas saugoti prisijungimo bandymus, o „Redhat“ ir „CentOS“ naudoja / var / log / secure saugoti autentifikavimo žurnalus.

• / var / log / boot.žurnalas: yra informacijos apie paleidimą ir pranešimus paleidimo metu.

• / var / log / maillog arba / var / log / mail.žurnalas: saugo visus žurnalus, identifikuojamus pašto serveriuose; vertinga, kai jums reikia duomenų apie jūsų serveryje veikiančias „postfix“, „smtpd“ ar bet kokias su el. paštu susijusias administracijas.

• / var / log / kern: yra informacijos apie branduolio žurnalus. Šis žurnalas yra svarbus tiriant pasirinktines dalis.

• / var / log / dmesg: yra pranešimų, identifikuojančių programėlių tvarkykles. Dmesg tvarka gali būti naudojama norint pamatyti pranešimus šiame įraše.

• / var / log / faillog: yra duomenų apie visus mėginimus prisijungti, vertingus norint surinkti žinių apie bandymus prasiskverbti į saugumą; pavyzdžiui, siekiantiems nulaužti prisijungimo pažymėjimus, lygiai taip pat, kaip užpulti gyvūnai.

• / var / log / cron: saugo visus su „Cron“ susijusius pranešimus; pavyzdžiui, „cron“ įdarbinimas arba kai „cron“ demonas pradėjo pašaukimą, susijusius nusivylimo pranešimus ir pan.

• / var / log / yum.žurnalas: jei nenorite, kad pristatysite rinkinius naudodami „yum“ užsakymą, šiame žurnale saugomi visi susiję duomenys, kurie gali būti naudingi sprendžiant, ar paketas ir visi segmentai buvo veiksmingai pristatyti.

• / var / log / httpd / arba / var / log / apache2: šie du katalogai naudojami saugoti visų tipų „Apache“ HTTP serverio žurnalus, įskaitant prieigos žurnalus ir klaidų žurnalus. Faile error_log yra visos blogos užklausos, kurias gavo http serveris. Šios klaidos apima atminties problemas ir kitas su sistema susijusias klaidas. „Access_log“ yra visų prašymų, gautų per HTTP, įrašas.

• / var / log / mysqld.žurnalas arba/ var / log / mysql.žurnalas : „MySQL“ žurnalo dokumentas, kuriame registruojami visi gedimo, derinimo ir sėkmės pranešimai. Tai dar vienas atvejis, kai sistema nukreipia į registrą; „RedHat“, „CentOS“, „Fedora“ ir kitos „RedHat“ pagrįstos sistemos naudoja / var / log / mysqld.log, o Debian / Ubuntu naudoja / var / log / mysql.žurnalų katalogas.

Įrankiai, skirti peržiūrėti „Linux“ žurnalus

Šiandien yra daugybė atvirojo kodo žurnalų stebėjimo priemonių ir tyrimo prietaisų, todėl tinkamų veiksmų žurnalų išteklių parinkimas yra paprastesnis, nei galite įtarti. Nemokami ir atvirojo kodo žurnalų tikrintuvai gali dirbti bet kurioje sistemoje, kad atliktų darbą. Čia yra penki geriausi, kuriuos naudojau praeityje, be jokios konkrečios tvarkos.

• Pilkoji dienoraštis

Pradėtas 2011 m. Vokietijoje, „Graylog“ dabar siūlomas kaip atvirojo kodo įrenginys arba verslo susitarimas. „Graylog“ yra sujungta „log-the-board“ sistema, gaunanti informacijos srautus iš skirtingų serverių ar galinių taškų ir leidžianti greitai peržiūrėti ar suskaidyti tuos duomenis.

„Graylog“ sukėlė teigiamą žinomumą tarp rėmų vadovų dėl savo paprastumo ir universalumo. Dauguma interneto įmonių prasideda nedaug, tačiau gali vystytis eksponentiškai. „Graylog“ gali pakoreguoti paketinių serverių sistemą ir kasdien tvarkyti keletą terabaitų žurnalo informacijos.

IT pirmininkai matys, kad „GrayLog“ sąsaja yra lengvai naudojama ir energinga. „Graylog“ veikia pagal prietaisų skydelių idėją, kuri leidžia vartotojams pasirinkti svarbių matavimų tipą ar informacijos šaltinius ir po kurio laiko greitai stebėti nuolydžius.

Atsiradus saugumo ar vykdymo epizodui, IT pirmininkams turi būti suteikta galimybė sekti apraiškas pagrindiniam vairuotojui taip greitai, kaip pagrįstai galima tikėtis. „Graylog“ paieškos funkcija palengvina šią užduotį. Šis įrankis prisitaikė prie vidinių gedimų, galinčių vykdyti daugiasluoksnes įmones, kad galėtumėte kartu suskaidyti kelis galimus pavojus.

• NAGIOS

Vieno kūrėjo sukurta 1999 m. „Nagios“ nuo to laiko perėjo į vieną iš patikimiausių atvirojo kodo įrankių, skirtų registruoti žurnalo informaciją. Dabartinis „Nagios“ perdavimas gali būti įdiegtas serveriuose, kuriuose veikia bet kokia operacinė sistema („Linux“, „Windows“ ir kt.).).

Pagrindinis „Nagios“ elementas yra žurnalų serveris, kuris supaprastina informacijos asortimentą ir palaipsniui leidžia duomenis gauti pagrindų vadovams. „Nagios“ žurnalo serverio variklis palaipsniui gaudys informaciją ir perduos ją į novatorišką paieškos įrankį. Įtraukimas į kitą galinį tašką ar programą yra paprastas šio neatidėliotino susitarimo vedlio atpildas.

„Nagios“ dažnai naudojamas asociacijose, kurios turi tikrinti savo apylinkių saugumą ir gali peržiūrėti su sistema susijusių progų apimtį, kad padėtų robotizuoti perspėjimų perdavimą. „Nagios“ gali būti užprogramuota atlikti konkrečias užduotis, kai įvykdoma tam tikra sąlyga, kuri leidžia vartotojams aptikti problemas dar prieš įtraukiant žmogaus poreikius.

Kaip pagrindinį sistemos vertinimo aspektą, „Nagios“ registruos žurnalo informaciją priklausomai nuo geografinės vietovės, kurioje ji prasideda. Norėdami pamatyti žiniatinklio srauto srautą, galima įdiegti visas informacijos suvestines su žemėlapių naujovėmis.

• LOGALIZĖ

„Logalyze“ gamina atvirojo kodo įrankius pagrindiniams direktoriams, sisteminiams administratoriams ir saugos specialistams, kad padėtų jiems prižiūrėti serverio žurnalus ir leistų sutelkti dėmesį į žurnalų pavertimą vertinga informacija. Pagrindinis šio įrankio elementas yra tai, kad jį galima nemokamai atsisiųsti namams ar verslui.

Pagrindinis „Nagios“ elementas yra žurnalų serveris, kuris supaprastina informacijos asortimentą ir palaipsniui leidžia duomenis gauti pagrindų vadovams. „Nagios“ žurnalo serverio variklis palaipsniui gaudys informaciją ir perduos ją į novatorišką paieškos įrankį. Įtraukimas į kitą galinį tašką ar programą yra paprastas šio neatidėliotino susitarimo vedlio atpildas.

„Nagios“ dažnai naudojamas asociacijose, kurios turi tikrinti savo apylinkių saugumą ir gali peržiūrėti su sistema susijusių progų apimtį, kad padėtų robotizuoti perspėjimų perdavimą. „Nagios“ gali būti užprogramuota atlikti konkrečias užduotis, kai įvykdoma tam tikra sąlyga, kuri leidžia vartotojams aptikti problemas dar prieš įtraukiant žmogaus poreikius.

Kaip pagrindinį sistemos vertinimo aspektą, „Nagios“ registruos žurnalo informaciją priklausomai nuo geografinės vietovės, kurioje ji prasideda. Norėdami pamatyti žiniatinklio srauto srautą, galite įdiegti visas informacijos suvestines su žemėlapių naujovėmis.

Ką turėtumėte daryti, jei jums kilo kompromisas?

Pagrindinis dalykas nėra panika, ypač jei neteisėtas asmuo yra prisijungęs dabar. Turėtumėte turėti galimybę atgauti mašinos valdymą, kol kitas asmuo nežino, kad žinote apie jį. Jei jie žino, kad žinote apie jų buvimą, užpuolikas gali apsaugoti jus nuo jūsų serverio ir pradėti naikinti jūsų sistemą. Jei nesate toks techninis, tuomet jums tereikia nedelsiant išjungti visą serverį. Serverį galite išjungti naudodami šias komandas:

Arba

Kitas būdas tai padaryti yra prisijungti prie savo prieglobos paslaugų teikėjo valdymo skydelio ir jį išjungti. Kai serveris bus išjungtas, galėsite dirbti su reikalingomis užkardos taisyklėmis ir savo laiku pasitarti su visais.

Jei jaučiatės labiau pasitikintys savimi ir jūsų prieglobos paslaugų teikėjas turi ankstesnę ugniasienę, sukurkite ir įgalinkite šias dvi taisykles:

• Leisti SSH srautą tik iš jūsų IP adreso.
• Blokuokite visa kita, ne tik SSH, bet ir kiekvieną protokolą, veikiantį kiekviename uoste.

Norėdami patikrinti, ar nėra aktyvių SSH seansų, naudokite šią komandą:

Norėdami nužudyti jų SSH sesiją, naudokite šią komandą: