Newsgroup: it.comp.sicurezza.varie
Titolo: Mandriva Linux, cosa controllare...

Cosa fareste se dovreste verificare un'eventuale intrusione su un sistema
Mandriva Linux protetto da Router+Nat+Firewall ?
In poche parole, dove dovrei andare a cercare ?
Saluti
Simone S.


Nella immagine del disco, fatta con un dd subito prima di aver
reinstallato la macchina.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 reinstallato la macchina.
Scusa, sono un newbie di Linux e sicurezza. Potresti spiegarti meglio ?
Ciao !
Simo




Prima di tutto, blocca la macchina - via la corrente. Poi fai una immagine
del disco (avendo un secondo disco, usa quello).
A questo punto separa i file basandoti sulla data di ultima modifica - non
e' granche', ma considera che un "tool" che si preoccupa di non variare la
data ai log sara' anche capace di toglierne tutte le informazioni utili; e
quindi un log con data "non sospetta" ha poco senso esaminarlo.
Fatto questo, verifica (md5sum) i binari del sistema confrontandoli con un
sistema pulito; meglio se avevi gia' gli md5sum bòni su CD. A parte usando
tripwire o simili, un controllo da poveri puoi farlo con
	find [path] -type f -exec md5sum \{\} \; > md5sums.txt
sul sistema pulito, ed un controllo volante ma sempre da poveri puoi farlo
con
	md5sum -c md5sums.txt
(path: /usr, /lib, /bin e /sbin)
...benche' da poveri, e' bene se almeno ti fai una copia di md5sum, e gia'
che ci sei la comprimi con upx e la chiami, che so, "snattach". Con touch,
gli metti la stessa data di qualsiasi altra cosa in /usr/sbin. Rimane vero
che l'UNICA sicurezza e' partire con una live distro e tenere md5sum (e l'
elenco dei file) li' sopra o su una USB key/SD card read-only, pero' cosi'
dovresti evitare che la verifica sia individuabile, e neutralizzabile, con
sistemi automatici. Per fregare questa verifica qui, servirebbe un rootkit
vero e proprio con tanto di LKM d'appoggio (non e' impossibile, eh?). Ma i
dati li puoi usare sia per bene (boot da CD) sia per una cosa svelta senza
riavviare niente, meno affidabile, ma piu' comodo.
Dalle date dei file e dalle variazioni rispetto al sistema sano, ti potrai
fare un'idea di come siano andate le cose.
Nella gran parte delle intrusioni "stock", troverai tracce a sfare in /tmp
e forse anche /dev, eventualmente /home se avevi account vulnerabili. Poi,
dipende da che servizi avevi sulla macchina, per stabilire vulnerabilita',
possibili vie d'ingresso, danni compiuti, e possibili ulteriori vie aperte
per una nuova intrusione.
Leonardo acqua calda
-- 
There is nothing makes a man suspect much, more than to know little,
and therefore men should remedy suspicion by procuring to know more,
and not keep their suspicions in smother.            (Francis Bacon)

 Scusa, sono un newbie di Linux e sicurezza. Potresti spiegarti meglio ?
E' la regola numero uno del sysadmin:
Macchina violata si reinstalla da pulito, e di corsa.[*][**]
Poi, con comodo, si analizza la copia del disco fatta appunto con un
programma di duplica settore per settore (dd la fa da padrone, nel ramo)
per scoprire cosa e' successo, e prendere le necessarie contromisure per
evitare il ripetersi del fatto.
[*] O forse la numero due, la uno deve essere quella che recita:
Sistema che funziona non si tocca:
[**] Proprio perche' non sai, sul momento, cosa l'attaccante sia
riuscito a fare, e quanti e quali programmi/dati ti abbia modificato,
sostituito, creato. Pertanto non sai se, in quel momento, la tua
macchina sia ancora tua, o sia _SUA_ e faccia i _SUOI_ porci comodi,
magari che sia adesso un bel deposito di materiale pedoporno,
terroristico, o come minimo di contenuti protetti da diritto d'autore
che il resto del mondo sta bellamente scaricandosi, dando la colpa a
te, sempre che non sia in uso come ponte per attaccare qualche sito
istituzionale, nel qual caso, i due signori vestiti uguale vengono a
svegliare te, alle cinque del mattino per chiederti qualche dettaglio.


 al forensic tipo F.I.R.E. e similari
beh ... basterebbe un giocattolino stile tripwire :)

 [**] Proprio perche' non sai, sul momento, cosa l'attaccante sia
nono.. l'aCCattante, si dice aCCattante (si è accattato un computer)

 nono.. l'aCCattante, si dice aCCattante (si è accattato un computer)
Da remoto???????
Scotty, ci porti su.


 poco.
si.. mi riferivo a quello sono  stato poco chiaro in effetti
è che .. mi stavo riagganciando al discorso
<quote>
Nella immagine del disco, fatta con un dd subito prima
di aver reinstallato la macchina.
</quote>
ciao

 Scotty, ci porti su.
capità, si è scassato il telecoso.. il televenditore .. insomma quel
coso là; o se la fa a piedi oppure potrebbe provare a scroccare
un passaggio.. sennò ci sarebbe un amico di mio cuggino che
mi ha detto che forse riesce ad aggiustare tutto in un paio d'ore

 beh ... basterebbe un giocattolino stile tripwire :)
A sistema già compromesso? :)
E tripwire non è così utile in caso di LKM rootkit.
-- 
Words are very unnecessary
They can only do harm

 E tripwire non è così utile in caso di LKM rootkit.
si ok.. mi sono spiegato male; facevo riferimento
al discorso di creare un'immagine del sistema
usando (es.) "dd" a quel punto si potrebbe usare
tripwire per fare un confronto