Tarkastin koneen rkhunterilla ja anto seuraavaan
"Checking system startup files for malware [ None found ]
Performing group and account checks
Checking for passwd file [ Found ]
Checking for root equivalent (UID 0) accounts [ None found ]
Checking for passwordless accounts [ None found ]
Checking for passwd file changes [ None found ]
Checking for group file changes [ None found ]
Checking root account shell history files [ None found ]
Performing system configuration file checks
Checking for SSH configuration file [ Found ]
Checking if SSH root access is allowed [ Not allowed ]
Checking if SSH protocol v1 is allowed [ Not allowed ]
Checking for running syslog daemon [ Found ]
Checking for syslog configuration file [ Found ]
Checking if syslog remote logging is allowed [ Not allowed ]
Performing filesystem checks
Checking /dev for suspicious file types [ Warning ]
Checking for hidden files and directories [ Warning ]"
Mitäköhän noi tarkottaa?
"Checking system startup files for malware [ None found ]
Performing group and account checks
Checking for passwd file [ Found ]
Checking for root equivalent (UID 0) accounts [ None found ]
Checking for passwordless accounts [ None found ]
Checking for passwd file changes [ None found ]
Checking for group file changes [ None found ]
Checking root account shell history files [ None found ]
Performing system configuration file checks
Checking for SSH configuration file [ Found ]
Checking if SSH root access is allowed [ Not allowed ]
Checking if SSH protocol v1 is allowed [ Not allowed ]
Checking for running syslog daemon [ Found ]
Checking for syslog configuration file [ Found ]
Checking if syslog remote logging is allowed [ Not allowed ]
Performing filesystem checks
Checking /dev for suspicious file types [ Warning ]
Checking for hidden files and directories [ Warning ]"
Mitäköhän noi tarkottaa?
Vastaukset 4
Vanhimmat
Suoritetaan ryhmä- ja käyttäjätilitarkistukset***
Tarkistetaan passwd-tiedosto [ Löytyi ]
Tarkistetaan root-tilien kopioita (UID0) [ Ei löydy ]
Tarkistetaan salasanattomat käyttäjätilit [ Ei löydy ]
Tarkistetaan tiedoston "passwd" muutokset [ Ei löydy ]
Tarkistetaan ryhmä-tiedoston muutokset [ Ei löydy ]
Tarkistetaan root-tilin päätehistorian tiedostot [ Ei löydy ]
Periaatteessa ensimmäinen ajo lienee OK etenkin ellet ole käyttänyt varsinaista root-tiliä päätteessä. Mikäli olet käyttänyt rootia päätteessä mutta historiaa ei löydy olisi se merkki tunkeilijasta. Tuossa tarkistetaan siis tiettyjen tiedostojen epäilyttäviä muutoksia mutta niitä ei löydy. Sudo ei ole sama kuin root.
Suoritetaan järjestelmän konfigurointitiedostojen tarkistukset***
Tarkistetaan SSH:n konfigurointitiedosto [ Löytyi ]
Tarkistetaan onko rootin ssh-kirjautuminen sallittu [ Ei sallittu ]
Tarkistetaan onko SSH:n protokolla v1 sallittu [ Ei sallittu ]
Tarkistetaan toimiva syslog-demoni [ Löytyi ]
Tarkistetaan syslog-konfiguraatiotiedosto [ Löytyi ]
Tarkistetaan on syslogin etäkirjautuminen sallittu [ Ei sallittu ]
Toinenkin ajo vaikuttaisi olevan OK, SSH:n rootkirjautuminen ei ole sallittua kuten ei saa ollakaan ilman äärimmäisen pätevää syytä. SSH:n heikko protokolla v1 ei ole käytössä ja syslog toimii kuten kuuluu.
Suoritetaan tiedostojärjestelmän tarkistukset***
Tarkistetaan hakemisto /dev epäilyttävien tiedostotyyppien varalta [ Varoitus ]
Tarkistetaan piilotetut tiedostot ja hakemistot [ Varoitus ]
Tämä kolmas kohta on minullekin epäselvä eikä auennut ainakaan pikaisella googlettamisella. Veikkaan kuitenkin, ottaen huomioon että kohdat 1. ja 2. meni läpi, ettei nuo varoitukset ole vakavia. Mikäli rootkitista olisi hajuja niin se ilmoitetaan selkeämmin kyllä. Piilotiedostoja ja -hakemistoja linuxissa aina on että ehkä vaan sen takia ja /dev voi olla muuten vaan harhaa.
Sanoisin että kaikki ok mutta yrittäisin vielä selvittää mistä nuo varoitukset johtuvat. Tosin rootkit on niin kiusallinen että se saattaa kyetä hämäämään myös näitä testiohjelmia joten ainoa varma tapa olisi suorittaa suojan ajo välittömästi asennuksen jälkeen ja mielellään irti verkosta, jos oikein skitsoksi heittäytyy. Tuo olisi ainoa varma keino varmistaa ettei rootkit kykene muuttamaan tiedostoja.
Toki ihan ensimmäinen keinohan oli se md5sum ;)
Ennenkuin kukaan ehtii möläyttämään ettei linuxiin ole viruksia tai rootkiteja niin vastaan että kyllä on. Ei aktiivisina mutta kyllä niitä on. Tosin rootkit on ihan eri asia kuin virus mutta kuitenkin, tietoturvauhkia on olemassa joten turha alkaa paukuttamaan päätä asiasta. Vain likinäköinen toukka alkaa mainostamaan linuxia yyberturvallisena ja immuunina koska mikään käyttöjärjestelmä ei ole sellainen, ei edes RAM-muistilta ajettuna.
Itse ajoin rootkit-ohjelman joskus vuosia sitten niin heti alkoi valitus, toivon mukaan nyt ei ala.
"Ei aktiivisina mutta kyllä niitä on."
Mitäs tietoturvauhkia ovat virukset tai rootkitit, jota eivät edes toimi?
Kyllä ne järjestelmäkohtaisesti kohdennettuina toimivat.
http://www.dlaube.com/2010/04/unknown-linux-rootkit/
Kotikäyttäjille noista tuskin on suurta vaaraa mutta servut ovat asia erikseen. Siitä huolimatta ketään ei haitanne vaikka ajaakin jonkun rootkit-ohjelman vaikka vähän turhaa olisikin, tosin se pitäisi tehdä siis jo heti asennuksessa jotta hyöty olisi paras mahdollinen.