Hur man avgör om ett Linux-system äventyras

Detta kommando visar kommandohistoriken genom att läsa filen .bash-historia i /Hem mappen för den användaren. Leta försiktigt efter wget, ringla, eller netcat kommandon, om angriparen använde dessa kommandon för att överföra filer eller för att installera från repo-verktyg, till exempel krypto-gruvarbetare eller spam-bots.

Ta en titt på exemplet nedan:

Ovan kan du se kommandot “wget https: // github.com / sajith / mod-rootme.” I det här kommandot försökte hackaren komma åt en fil utan repo med wget för att ladda ner en bakdörr som heter “mod-root me” och installera den på ditt system. Detta kommando i historien innebär att systemet är äventyrat och har blivit bakdörr av en angripare.

Kom ihåg att den här filen lätt kan utvisas eller dess ämne produceras. Uppgifterna från detta kommando får inte tas som en klar verklighet. Men i fallet att angriparen körde ett "dåligt" kommando och försummat evakuera historien, kommer det att vara där.

Cron Jobb

Cron-jobb kan fungera som ett viktigt verktyg när de är konfigurerade för att ställa in ett omvänd skal på angriparmaskinen. Att redigera cron-jobb är en viktig färdighet, och det är också att veta hur man ser dem.

För att se cron-jobb som körs för den aktuella användaren använder vi följande kommando:

För att se cron-jobb som körs för en annan användare (i det här fallet Ubuntu) använder vi följande kommando:

För att visa cronjobb dagligen, per timme, vecka och månad, använder vi följande kommandon:

Dagliga Cron-jobb:

Cron jobb per timme:

Cron jobb varje vecka:

Ta ett exempel:

Angriparen kan sätta in ett cron-jobb / etc / crontab som kör ett skadligt kommando 10 minuter över varje timme. Angriparen kan också köra en skadlig tjänst eller en omvänd skal bakdörr via netcat eller något annat verktyg. När du kör kommandot $ ~ crontab -l, du kommer att se ett cron-jobb som körs under:

För att korrekt kontrollera om ditt system har äventyrats är det också viktigt att se pågående processer. Det finns fall där vissa obehöriga processer inte förbrukar tillräckligt med CPU-användning för att listas i topp kommando. Det är där vi kommer att använda ps kommando för att visa alla processer som för närvarande körs.

Den första kolumnen visar användaren, den andra kolumnen visar ett unikt process-ID och CPU- och minnesanvändning visas i nästa kolumner.

Denna tabell ger dig mest information. Du bör inspektera varje pågående process för att leta efter något som är speciellt att veta om systemet är komprometterat eller inte. Om du hittar något misstänkt, Google eller kör det med lsof som visas ovan. Det här är en bra vana att springa ps kommandon på din server och det kommer att öka dina chanser att hitta något misstänkt eller som inte är i din dagliga rutin.

/ etc / passwd

De / etc / passwd filen håller reda på alla användare i systemet. Detta är en kolonavgränsad fil som innehåller information som användarnamn, användar-ID, krypterat lösenord, GroupID (GID), fullständigt namn på användaren, användarens hemkatalog och inloggningsskal.

Om en angripare hackar in i ditt system finns det en möjlighet att han eller hon kommer att skapa några fler användare, för att hålla saker åtskilda eller skapa en bakdörr i ditt system för att komma tillbaka med den bakdörren. När du kontrollerar om ditt system har äventyrats bör du också verifiera alla användare i / etc / passwd-filen. Skriv följande kommando för att göra det:

Detta kommando ger dig en utdata som liknar den nedan:

Nu vill du leta efter alla användare som du inte känner till. I det här exemplet kan du se en användare i filen som heter ”anonym.”En annan viktig sak att notera är att om angriparen skapade en användare att logga in med, kommer användaren också att tilldelas ett“ / bin / bash ”-skal. Så du kan begränsa din sökning genom att ta tag i följande resultat:

Du kan utföra ytterligare "bash-magi" för att förfina din produktion.

Hitta

Tidsbaserade sökningar är användbara för snabb triage. Användaren kan också ändra tidsstämplar för filändring. För att förbättra tillförlitligheten, inkludera ctime i kriterierna, eftersom det är mycket svårare att manipulera eftersom det kräver modifiering av vissa nivåfiler.

Du kan använda följande kommando för att hitta filer som har skapats och ändrats under de senaste fem dagarna:

För att hitta alla SUID-filer som ägs av roten och för att kontrollera om det finns några oväntade poster i listorna använder vi följande kommando:

För att hitta alla SGID-filer (set user ID) som ägs av roten och kontrollera om det finns några oväntade poster i listorna använder vi följande kommando:

Chkrootkit

Rootkits är en av de värsta saker som kan hända med ett system och är en av de farligaste attackerna, farligare än skadlig kod och virus, både i skadorna de orsakar på systemet och svårigheter att hitta och upptäcka dem.

De är utformade på ett sådant sätt att de förblir dolda och gör skadliga saker som att stjäla kreditkort och onlinebankinformation. Rootkits ge cyberbrottslingar möjlighet att kontrollera ditt datorsystem. Rootkits hjälper också angriparen att övervaka dina tangenttryckningar och inaktivera ditt antivirusprogram, vilket gör det ännu enklare att stjäla din privata information.

Dessa typer av skadlig kod kan stanna kvar på ditt system länge utan att användaren ens märker det och kan orsaka allvarliga skador. När Rootkit detekteras finns det inget annat sätt än att installera om hela systemet. Ibland kan dessa attacker till och med orsaka maskinvarufel.

Lyckligtvis finns det några verktyg som kan hjälpa till att upptäcka Rootkits på Linux-system, såsom Lynis, Clam AV eller LMD (Linux Malware Detect). Du kan kontrollera om ditt system är känt Rootkits med hjälp av kommandona nedan.

Installera först Chkrootkit via följande kommando:

Detta kommer att installera Chkrootkit verktyg. Du kan använda detta verktyg för att söka efter Rootkits via följande kommando:

Chkrootkit-paketet består av ett skalskript som kontrollerar systembinarier för rootkit-modifiering, samt flera program som söker efter olika säkerhetsproblem. I ovanstående fall kollade paketet efter ett tecken på Rootkit på systemet och hittade inget. Det är ett bra tecken!

Linux-loggar

Linux-loggar ger en tidtabell för händelser i Linux-arbetsramen och applikationer, och är ett viktigt utredningsinstrument när du upplever problem. Den primära uppgiften som en administratör behöver utföra när han eller hon upptäcker att systemet är komprometterat bör dissekera alla loggposter.

För specifika problem med arbetsområdesapplikationer hålls loggposter i kontakt med olika områden. Till exempel komponerar Chrome kraschrapporter till '~ /.krom / kraschrapporter '), där en arbetsområdeapplikation komponerar loggar som är beroende av ingenjören och visar om applikationen tar hänsyn till anpassad loggordning. Rekord finns i/ var / log katalog. Det finns Linux-loggar för allt: ramverk, del, buntchefer, startformulär, Xorg, Apache och MySQL. I den här artikeln kommer temat att koncentreras uttryckligen på Linux-ramloggar.

Du kan byta till den här katalogen med hjälp av CD-ordningen. Du bör ha rootbehörigheter för att visa eller ändra loggfiler.

Instruktioner för att visa Linux-loggar

Använd följande kommandon för att se de nödvändiga loggdokumenten.

Linux-loggar kan ses med kommandot cd / var / log, vid den tidpunkten genom att komponera beställningen för att se stockarna placerade under denna katalog. En av de viktigaste stockarna är syslog, som loggar många viktiga loggar.

För att desinficera produktionen använder vimindre" kommando.

Skriv kommandot var / log / syslog att se en hel del saker under syslog-fil. Att fokusera på en viss fråga tar lite tid, eftersom denna post vanligtvis är lång. Tryck på Skift + G för att bläddra ner i posten till SLUT, betecknad med “SLUT.”

Du kan också se loggarna med hjälp av dmesg, som skriver ut delringen. Denna funktion skriver ut allt och skickar dig så långt som möjligt längs dokumentet. Från den tiden kan du använda beställningen dmesg | mindre att titta igenom avkastningen. Om du behöver se loggarna för den givna användaren måste du köra följande kommando:

Sammanfattningsvis kan du använda svansordningen för att se loggdokumenten. Det är ett litet men ändå användbart verktyg som man kan använda, eftersom det används för att visa den sista delen av loggarna, där problemet troligen uppstod. Du kan också ange antalet senaste byte eller rader som ska visas i svanskommandot. För detta använder du kommandot svans / var / log / syslog. Det finns många sätt att titta på loggar.

För ett visst antal rader (modellen tar hänsyn till de senaste 5 raderna), ange följande kommando:

Detta kommer att skriva ut de senaste 5 raderna. När en ny rad kommer kommer den förra att evakueras. För att komma bort från svansordningen, tryck Ctrl + X.

Viktiga Linux-loggar

De fyra primära Linux-loggarna inkluderar:

1. Applikationsloggar
2. Händelseloggar
3. Serviceloggar
4. Systemloggar

• / var / log / syslog eller / var / log / meddelanden: allmänna meddelanden, precis som ramrelaterade data. Den här loggen lagrar all åtgärdsinformation över hela världen.

• / var / log / auth.logga eller / var / log / säker: lagra verifieringsloggar, inklusive både effektiva och fizzled-inloggningar och valideringsstrategier. Debian och Ubuntu används / var / log / auth.logga för att lagra inloggningsförsök, medan Redhat och CentOS använder / var / log / säker för att lagra autentiseringsloggar.

• / var / log / boot.logga: innehåller information om start och meddelanden under start.

• / var / log / maillog eller / var / log / mail.logga: lagrar alla loggar som identifierats med e-postservrar; värdefullt när du behöver data om postfix, smtpd eller andra e-postrelaterade administrationer som körs på din server.

• / var / log / kern: innehåller information om kärnloggar. Den här loggen är viktig för att undersöka anpassade delar.

• / var / log / dmesg: innehåller meddelanden som identifierar gadgetdrivrutiner. Ordern dmesg kan användas för att se meddelanden i denna post.

• / var / log / faillog: innehåller data om alla inblandade inloggningsförsök, värdefulla för att plocka upp kunskapsbitar om försökta säkerhetsgenomträngningar; till exempel de som vill hacka inloggningscertifieringar, precis som angrepp på djurmakt.

• / var / log / cron: lagrar alla Cron-relaterade meddelanden; cron-anställningar, till exempel, eller när cron-demon startade en kallelse, relaterade besvikelsemeddelanden och så vidare.

• / var / log / yum.logga: på chansen att du introducerar buntar som använder yum-ordningen, lagrar den här loggen all relaterad data, vilket kan vara till hjälp för att avgöra om en bunt och alla segment infördes effektivt.

• / var / log / httpd / eller / var / log / apache2: dessa två kataloger används för att lagra alla typer av loggar för en Apache HTTP-server, inklusive åtkomstloggar och felloggar. Error_log-filen innehåller alla dåliga förfrågningar som tas emot av http-servern. Dessa misstag innehåller minnesfrågor och andra ramrelaterade misstag. Access_log innehåller ett register över alla begäranden som tas emot via HTTP.

• / var / log / mysqld.logga eller/ var / log / mysql.logga : MySQL-loggdokumentet som loggar alla fel-, felsöknings- och framgångsmeddelanden. Detta är en annan händelse där ramverket riktar sig till registret; RedHat, CentOS, Fedora och andra RedHat-baserade ramar använder / var / log / mysqld.logg, medan Debian / Ubuntu använder / var / log / mysql.loggkatalog.

Verktyg för att visa Linux-loggar

Det finns många öppna källkodspårare och undersökningsenheter tillgängliga idag, vilket gör det enklare att välja rätt tillgångar för åtgärdsloggar än du kanske misstänker. Loggkontrollerna med fri och öppen källkod kan arbeta på vilket system som helst för att få jobbet gjort. Här är fem av de bästa jag har använt tidigare, i ingen specifik ordning.

• GRÅLOGG

Startade i Tyskland 2011, och nu erbjuds Graylog antingen som en öppen källkod eller ett affärsarrangemang. Graylog är tänkt att vara ett samlat, logg-in-board-ramverk som tar emot informationsströmmar från olika servrar eller slutpunkter och tillåter dig att snabbt granska eller bryta ned data.

Graylog har samlat en positiv notoritet bland ramhuvuden som ett resultat av dess enkelhet och mångsidighet. De flesta webbprojekt börjar lite, men kan ändå utvecklas exponentiellt. Graylog kan justera stackar över ett system med backend-servrar och hantera några terabyte logginformation varje dag.

IT-ordförande kommer att se framsidan av GrayLog-gränssnittet som enkel att använda och kraftfull i dess användbarhet. Graylog arbetar kring tanken med instrumentpaneler, som tillåter användare att välja vilken typ av mätningar eller informationskällor de tycker är viktiga och snabbt observera lutningar efter en tid.

När ett säkerhets- eller exekveringsepisod inträffar måste IT-ordförande ha möjlighet att följa manifestationerna till en underliggande förare så snabbt som rimligt kan förväntas. Graylogs sökfunktion gör den här uppgiften enkel. Detta verktyg har fungerat för att anpassa sig till internt fel som kan köra flera strängade satsningar så att du kan bryta ner några potentiella faror tillsammans.

• NAGIOS

Nagios startades av en enda utvecklare 1999 och har sedan dess utvecklats till ett av de mest solida open source-instrumenten för att övervaka logginformation. Den nuvarande återgivningen av Nagios kan implementeras på servrar som kör alla typer av operativsystem (Linux, Windows, etc.).

Nagios viktiga artikel är en loggserver som effektiviserar informationssortimentet och gör data successivt tillgängliga för ramledare. Nagios loggserversmotor kommer att fånga information gradvis och mata den till ett banbrytande sökinstrument. Att integrera med en annan slutpunkt eller applikation är en enkel dricksvärdighet för denna inneboende arrangemangsguide.

Nagios används ofta i föreningar som behöver screena säkerheten i sina stadsdelar och kan granska en mängd systemrelaterade tillfällen för att hjälpa till att robotisera förmedlingen av varningar. Nagios kan programmeras för att utföra specifika uppgifter när ett visst villkor är uppfyllt, vilket gör det möjligt för användare att upptäcka problem även innan en människas behov inkluderas.

Som en viktig aspekt av systemutvärderingen kommer Nagios att kanalisera logginformation beroende på det geografiska område där den startar. Kompletta instrumentpaneler med kartläggningsinnovation kan implementeras för att se strömning av webbtrafik.

• LOGALYSERA

Logalyze tillverkar verktyg för öppen källkod för ramdirektörer eller systemadministratörer och säkerhetsspecialister för att hjälpa dem med att övervaka serverloggar och låta dem fokusera på att förvandla loggarna till värdefull information. Verktygets väsentliga sak är att det är tillgängligt som en gratis nedladdning för antingen hem eller företag.

Nagios viktiga artikel är en loggserver som effektiviserar informationssortiment och gör data successivt tillgängliga för ramchefer. Nagios loggserversmotor kommer att fånga information gradvis och mata den till ett banbrytande sökinstrument. Att integrera med en annan slutpunkt eller applikation är en enkel dricksvärdighet för denna inneboende arrangemangsguide.

Nagios används ofta i föreningar som behöver screena säkerheten i sina stadsdelar och kan granska en mängd systemrelaterade tillfällen för att hjälpa till att robotisera förmedlingen av varningar. Nagios kan programmeras för att utföra specifika uppgifter när ett visst villkor är uppfyllt, vilket gör det möjligt för användare att upptäcka problem även innan en människas behov inkluderas.

Som en viktig aspekt av systemutvärderingen kommer Nagios att kanalisera logginformation beroende på det geografiska område där den startar. Kompletta instrumentpaneler med kartläggningsinnovation kan implementeras för att se streaming av webbtrafik.

Vad ska du göra om du har äventyrats?

Det viktigaste är att inte få panik, särskilt om den obehöriga personen är inloggad just nu. Du bör ha möjlighet att ta tillbaka kontrollen över maskinen innan den andra personen vet att du känner till dem. Om de vet att du är medveten om deras närvaro kan angriparen mycket väl hålla dig borta från din server och börja förstöra ditt system. Om du inte är så teknisk är allt du behöver göra att stänga av hela servern omedelbart. Du kan stänga av servern via följande kommandon:

Eller

Ett annat sätt att göra detta är att logga in på din värdleverantörs kontrollpanel och stänga av den därifrån. När servern är avstängd kan du arbeta med de brandväggsregler som behövs och konsultera vem som helst för hjälp på din egen tid.

Om du känner dig mer säker och din webbhotell har en uppströms brandvägg, skapa och aktivera sedan följande två regler:

• Tillåt SSH-trafik från endast din IP-adress.
• Blockera allt annat, inte bara SSH utan alla protokoll som körs på varje port.

Använd följande kommando för att söka efter aktiva SSH-sessioner:

Använd följande kommando för att döda deras SSH-session: