23 февраля - день защитников Отечества

Среда, 23 февраля 2011 г.
Просмотров: 19948
Подписаться на комментарии по RSS

С 23 февраля, праздником !!

Выпущено второе обновление Ubuntu 10.04LTS

Выпущено второе обновление Ubuntu 10.04LTS.

Ubuntu 10.04 LTS будет поддерживаться обновлениями апреля 2013 года на десктопах, а северная версия до апреля 2015.

Полный список измененийв Ubuntu 10.04.2.

Берем:

Ubuntu Desktop

Ubuntu Server.

Обсудить

Как проверить Linux-сервер на предмет взлома

Как проверить Linux-сервер на предмет взлома, если закрались какие либо подозрения.

Но сразу скажу что все зависит от квалификации злоумышленника и значимости ресурса.

По крайне мере думаю,что для многих это будет полезно и познавательно. Для начало сканируем с другого хоста что у нас открыто из подозрительных открытых портов, при помощи утилиты nmap:

$ nmap -P0 -p 1-65505 XXX.XXX.XXX.XXX (или хост)

Starting Nmap 5.21 ( http://nmap.org )
Nmap scan report for host (XXX.XXX.XXX.XXX)
Host is up (0.0066s latency).
Not shown: 65499 closed ports
PORT STATE SERVICE
21/tcp open ftp
80/tcp open http
111/tcp open rpcbind
443/tcp open https
1723/tcp open pptp
... ...

далее ...

Тут ни чего подозрительного нету, попробуем сделать тоже самое только уже с нашей проверяемой машины:

$ nmap -P0 -p 1-65505 127.0.0.1

Starting Nmap 4.62 ( http://nmap.org )
Interesting ports on localhost (127.0.0.1):
Not shown: 65495 closed ports
PORT STATE SERVICE
21/tcp open ftp
53/tcp open domain
80/tcp open http
111/tcp open rpcbind
443/tcp open https
665/tcp open unknown
953/tcp open rndc
... ....

И вот у нас появился 665/tcp unknown, что это я ни представляю, но он висит на localhost'e и поэтому угрозы не проставляет,но на его примере рассмотрим наши дальнейшие действия, смотрим, кто его слушает:

$ netstat -anp | grep LISTEN | grep 665

tcp 0 0 127.0.0.1:665 0.0.0.0:* LISTEN 2185/famd

$ ps -eaf| grep 2185

root 2185 1 0 Jan31 ? 00:00:00 /usr/sbin/famd -T 0
root 15067 9340 0 20:54 pts/1 00:00:00 grep 2185

Узнал что это такое только при написании этой заметки, почитать можно здесь про FAM.

Так же обогатился знанием, и узнал и про пакет lsof, который тоже внесет ясность, ставиться просто

$ aptitude install lsof

Запускаем:

$ lsof -i

.... .....

famd     2185     root    3u  IPv4   6460       TCP localhost:665 (LISTEN)

....

видем что он слушается на localhost'е и нет проблем для беспокойства.

Так же можно:

$ netstat -nlpt

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
.... .....
tcp 0 0 127.0.0.1:665 0.0.0.0:* LISTEN 2185/famd
tcp 0 0 127.0.0.1:953 0.0.0.0:* LISTEN 2016/named
... .....

$ netstat -pantu $ netstat -anp

Так же назначения всех стандартных портов и что на них висит можно уточнить посмотрев - TCP/IP Port Numbers (TCP and UDP) - Network Services (IANA)

Проверяем файл /etc/passwd. На предмет новых пользователей или подозрительных записей:

$ cat /etc/passwd

И в добавок проверяем нашу систему на установленные руткиты, при помощи пакета - chkrootkit и rkhunter.

Обсудить

LogWatch - получем отчёт и анализ о состоянии сервера Linux по почте

Среда, 2 февраля 2011 г.
Рубрика: Пакет дня Ubuntu_Debian -> *NIX_*BSD сиcтемы -> В помощь сисадмину
Метки: debian | Linux | log | LogWatch | ubuntu
Просмотров: 27676
Подписаться на комментарии по RSS

Утилита LogWatch анализирует log файлы системы по различным критериям с возможность составления отчёта и отправки его по почте. Утилита построена на модульном принципе, и анализирует не все, а лишь те сервисы, которые указаны в настройках.Более того, можно и самому писать модули для анализа нужных логов. В общем – вещь, полезная.

Ставим:

$ apt-get install logwatch

Теперь переделываем конфиг себя:

$ nano /usr/share/logwatch/default.conf/logwatch.conf

# Папка с логами по умолчанию
LogDir = /var/log/
# Папка для временных файлов, или указываем свою или создаем эту, так как она ни создается
TmpDir = /var/cache/logwatch

далее ...
#Output/Format Options
#By default Logwatch will print to stdout in text with no encoding.
#To make email Default set Output = mail to save to file set Output = file
Output = stdout
#To make Html the default formatting Format = html
# В каком формате выводить данные, можно text или html
Format = html
#To make Base64 [aka uuencode] Encode = base64
Encode = none
# Кому будем отсылать уведомление. Можно указать локального
# пользователя, можно просто e-mail адрес.
# Если у вас не настроена почта для root имеет смысл указать необходимый адрес полностью
MailTo = root
# Здесь можно указать дополнительные адреса, на которые будут
# отсылаться уведомления
# Mailto_host1 = xxxxxx@localhost
# Имя отправителя письма
MailFrom = logwatch
# Указывает либо печатать вывод в консоль (YES) либо отправлять отчёт на почту (NO)
Print = No
# Можно сохранить файл отчета, указываешь путь на сервере при необходимости
# Save = /tmp/logwatch-mail
# Использовать ли архивы
# (к примеру /var/log/messages.1 или /var/log/messages.1.gz)
# Если отчёт генериться за одни день нет смысла включать эту опцию.
# Также эта опция зависит от режима ротации логов в системе
# Archives = No
# Указывает период за который составляется отчёт (All, Today, Yesterday)
Range = yesterday
# Уровень детализации отчёта
# Low = 0
# Med = 5
# High = 10
Detail = High
# Собирать ли информацию в всех сервисах, данные о которых лежат в папке
# /usr/share/logwatch/scripts/services/ или только по определенному (например ftpd)
Service = All

# Дополнительно можно исключить определенные сервисы из набора для анализа
Service = "-zz-network" # Prevents execution of zz-network service, which
# prints useful network configuration info.
Service = "-zz-sys" # Prevents execution of zz-sys service, which
# prints useful system configuration info.
Service = "-eximstats" # Prevents execution of eximstats service, which
# is a wrapper for the eximstats program.
# If you only cared about FTP messages, you could use these 2 lines
# instead of the above:
# Service = ftpd-messages # Processes ftpd messages in /var/log/messages
# Service = ftpd-xferlog # Processes ftpd messages in /var/log/xferlog
# Maybe you only wanted reports on PAM messages, then you would use:
# Service = pam_pwdb # PAM_pwdb messages - usually quite a bit
# Service = pam # General PAM messages... usually not many
# Аналогично, можно читать только определенные лог-файлы
# LogFile = messages
# например только /var/log/messages.
# Почтовая программа по умолчанию. Обычно используется
# sendmail или просто mail
mailer = "/usr/bin/mail"
#
# Собирать логи только с этого хоста. Имеет смысл, если на машине
# хранятся не только ее собственные логи
# HostLimit = Yes

При установке утилита прописывает себя в /etc/cron.daily/00logwatch и будет запускаться каждый день. Идем в nano /etc/cron.daily/00logwatch и заремливаем все и добавляем одну строчку: