n4rf network » Björn Böttcher » Täglicher Rootkit Check auf Linux Rechner mit Mailbenachrichtigung

Täglicher Rootkit Check auf Linux Rechner mit Mailbenachrichtigung

Heute mal wieder ein kleines HowTo für den Linux Bereich. Jeder der einen Linux Server am Netz hat, kennt die Gefahr von Rootkits. Durch ein modifiziertes Programm kann ein Angreifer sich nahezu unbemerkt Zugriff auf das System beschaffen. Einer solchen Gefahr vorzubeugen, bzw. um modifizierte Programme zu erkennen ist das Programm chkrootkit eine sehr gute Maßnahme. Da man sich ja gerade bei einem Linux Server nicht täglich auf der Konsole befindet um der check auszuführen, hier nun eine kurze Anleitung wie man sich täglich ein Root Kit Check per E-Mail zukommen lässt.Als Basispfad nehme ich wie immer /opt

Als erstes benötigen wir das chkrootkit Package. Die aktuellste Version gibt es immer unter dem Link ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz. Oder natürlich auf der Homepage unter: http://www.chkrootkit.org/

Also erstmal herunterladen und entpacken

cd /opt
wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
tar xfz chkrootkit.tar.gz

Die aktuelle Verison ist die 0.47, es sollte nun den Ordner chkrootkit-0.47 geben. Also in den Ordner und erst einmal Compilieren.

cd chkrootkit-0.47
make sense

Da war es schon mit der Installation. Nun kann das Programm mit dem Befehl ./chkrootkit bereits einmal ausgeführt werden. Dann seht ihr die Standardausgabe.

Nachdem das Programm nun läuft ist es nur noch ein kleiner Schritt bis zur Automatisierung. Ich lasse das Programm immer um Mitternacht durchlaufen, da dann entsprechend wenig auf der Maschine los ist. Also einfach einen crontab Eintrag dafür erstellen.

crontab -e

Öffnet die Cron Tabellen und dort fügt ihr folgendes hinzu:

@daily /opt/chkrootkit-0.47/chkrootkit | mail -s “Daily chkrootkit -> `hostname`” deinname@deinedomain.tld

deinname@deinedomain.tld ersetzt ihr dabei dann einfach durch eure E-Mail Adresse, Vorraussetung ist natürlich das externe E-Mails versendet werden können, dann noch speichern und schon bekommt ihr täglich um Mitternacht einen Rootkit Check Report per E-Mail. Hostname steht in Anführungzeichen und wird dadurch als Befehl ausgeführt, ihr erhalten also im Betreff der E-Mail dann den Hostnamen eures Rechners. Wenn ihr sofort sehen wollt wie eine solche E-Mail aussieht, könnt ihr die Zeile ohne das @daily auch einfach einmal in die Konsole hauen