Linux, безопасность и все такое… (вдогонку)

Вот интересно от троллей хоть раз услышать коммент — что я такого ужасного написал, что мне накидали минусов в карму?

Спасибо автору! Не знал о таких утилитах.

Если вы домашний пользователь — пользуйтесь дистрибутивами с подписанными пакетами. Дебианом там, RPM'based и пр. ставьте пакеты только из репов. Это практически 90% гарантия того, что все будет ок. Периодически просматривайте netstat -ptun, getent passwd | grep ":0:", добавьте в /etc/security/access.conf только своего пользователя, запускайте сетевые сервисы с публичным доступом из chroot и смотрите хоть иногда в логи. Это 95% того, что с вами все будет хорошо. Существует некоторое количество случаев, когда вышеперечисленных мер может быть недостаточно — основная — это дыры в ядре, и дыры в башке администратора на сервере с шелл доступом. От первого вы едва ли можете быть защищены. Но ремот руты — достаточно редкое явление. Иногда бывают локал руты. Локал рут может быть опасен тогда, когда у вас в сетевом сервисе есть дыра. Например у вас старый дырявый phpbb, и старое дырявое ядро. Но в таком случае вам ваще ничего не поможет. Ни rkhunter, ни tripware.

Я ожидал selinux и apparmor, а это так, когда почки отвалились.

по поводу рута…
Была у меня такая фишка во времена паранойи. У меня, по входу рута в систему, высылалось мыло на почту с данными откуда вошли. Одна строчка в .bashrc, а столько приятного. так же и пользователей можно отслеживать, если совсем уж почтовый трафик девать некуда.

rkhunter -update
rkhunter --update

это все прекрасно конечно, но что мне делать если rkhunter, после всех этих телодвижений, выдал ворнинги?

в избранное

Обращусь за ответами, как к посту приемнику со следующими вопросами:
habrahabr.ru/blogs/linux/81724/#comment_2428247
habrahabr.ru/blogs/linux/81724/#comment_2428291

Стоит упомянуть о классике жанра snort ну и ossec не забыть… а сколько всего самописных парсеров netstat и всяких logов с генерацией правил для iptables…

rkhunter попросил установить для себя пакет unhide и сразу засунул его в warning при первой же проверке, и не нашёл php, хотя оно есть и устанавливалось из репозитория.
Тем не менее, после проверки я как-то спокойнее себя чувствую, спасибо.

Коллеги, как назло вылето из головы название демона, который отслеживает все изменения файлов и находится во всех ОС Linux. Он стандартный, не tripware, вроде на 'a' начинается, напомните пожалуйста

> Но не стоит расслабляться — если уж злоумышленник получит рутовые права на вашей тачке, то ему не составит труда просто
> переустановить tripwire со своими ключами, и вы будете все так же получать репорты в стиле «Все хорошо, прекрасная маркиза»

вообще, если под линухом кто-то украл ваш пароль — то битву вы уже проиграли. Человек умелый (разумный) однозначно сможет замаскироваться в системе так, что его и под лупой не найдёшь. Только если специально не сесть и не начать искать, зная что что-то не так.

а в случае с серверами, доступ к закрытой информации уже будет получен и базы уже стырены, так что поздно.

следовательно, я бы советовал сосредотачиваться на превентивных мерах — частая смена паролей (а лучше и вовсе отказ в пользу ключей), обновление всего и вся регулярно (до стейбл), отказ от «не стейбл» пакетов и тому подобное.

а если же понадобится очень жесткий контроль на userspace программками, то это явно надо делать из kernelspace :). И, уверен, если понадобится — появится. Сейчас же надобности в этом нет вообще.

в указанном топике, в одном из комментариев упоминается отчет о взломе серверов debian. Так вот дебиановцы на своих серверах используют aide. Судя по описанию — нечто наподобие tripwire, т.е. отслеживает изменение файлов, заданных регулярными выражениями в конфиге, по контрольным суммам. как аналог tripwire предлагаю добавить с статью