Всем привет!
Для мониторинга серверов используем zabbix. В стандартном шаблоне для linux-хостов есть проверка изменения контрольных сумм системных утилит - ps, top, ls и т.д. Это однажды сработало в боевых условиях (угнали пароль у разработчика с sudo правами и установили какой-то руткит), после чего стал относиться к этим алертам с уважением. Некоторое время назад наткнулся на статью про kernelspace руткиты и появилсиь следующие мысли:
- Проверяем контрольные суммы /bin/cat и /usr/bin/md5sum
- cat /proc/modules | md5sum
- cat /proc/kallsyms | md5sum
1. Смогут ли эти проверки выявить установку хоть каких-то руткитов?
2. Могут ли подобные проверки гарантировать отсутствие руткитов в ядре (при условии установки на чистую систему)?
3. Вероятность false positive алертов?
4. Возможно еще какие-то простые проверки (без установки дополнительных программ)?
Спасибо!
