Sicurezza per scoprire gli intrusi analizzando le impronte digitali di Linux

Server e computer sono costantemente esposti ad attacchi di virus, hacker o persone che cercano di spiare informazioni. Essere hackerati o avere vulnerabilità è qualcosa che la maggior parte degli utenti di computer e degli amministratori di server e di rete temono.
La prima cosa che dobbiamo sapere è quali sono i file che creano i log delle azioni eseguite sul sistema. Alcuni di loro sono:

• Un registro importante è utpm, che tiene traccia degli utenti che utilizzano il sistema mentre sono connessi al server. Lo troviamo nella directory:

/var/adm/utmp sì / etc / utmp

• Un modo rapido per visualizzare i tuoi registri è dalla finestra del terminale con il comando quien che elenca il contenuto di utmp.

• Il ceppo wtmp Ha il compito di registrarsi in un registro ogni volta che un utente entra nel sistema o esce dal sistema. Può essere trovato nelle directory /var/adm/wtmp e /etc/wtmp. Può anche essere elencato con il comando:

chi / usr / adm / wtmp

Il comando ultima comunicazione mostra gli ultimi comandi eseguiti da chiunque sul sistema. Questo comando è disponibile solo se hai processi in esecuzione. Per usarlo dobbiamo installare un piccolo programma chiamato acct che è nei repository di any Distribuzione Linux.

apt-get install acct

Possiamo anche cercare file modificati entro un tempo noto, come ad esempio:
Mostra i file modificati 10 minuti fa

trova -mmin +10

Mostra i file modificati più vecchi di un giorno

trova -mtime +1

Mostra i file modificati entro 5-10 minuti

trova -mmin +5 -mmin -10

Controlla sempre che i servizi che vengono eseguiti all'avvio del server o del computer siano quelli che abbiamo definito nel file /etc/inetd.conf
Possiamo anche utilizzare un id o un sistema di rilevamento delle intrusioni, è uno strumento di sicurezza che cerca di rilevare o monitorare eventi che si verificano in un determinato sistema informatico o rete di computer alla ricerca di tentativi di compromettere la sicurezza di detto sistema.
Un sistema di rilevamento delle intrusioni è, sbuffa è uno sniffer di pacchetti e un rilevatore di intrusioni funziona sia per Linux che per Windows. Un altro strumento è AIDE (ambiente avanzato di rilevamento delle intrusioni) è un controllo dell'integrità di file e directory.
sbuffa può essere trovato completo in un altro tutorial. Vediamo come installare Aide. È questa applicazione che permette di prendere un'idea dello stato di integrità dei file system in Linux e aiuta a identificare quali file sono stati modificati nella loro integrità dalla loro installazione.

 sudo apt-get update sudo apt-get install aide 

Ci sono due file di configurazione:

 /etc/default/aide Il file di configurazione generale di AIDE. /etc/aide/aide.conf Il file di configurazione delle regole AIDE. 

 sudo touch /var/lib/aide/aide.db 

Quindi possiamo controllare il sistema con il seguente comando:

sudo aide -init

Possiamo anche controllare i file modificati con il seguente comando:

sudo aiutante --check