Clase de novatos: cómo ver si el servidor Linux es atacado

Los muchachos, comúnmente conocidos como "diablos de guiones", pertenecen a ese tipo de pirateo, porque básicamente muchos de ellos y la mayoría de las personas son tan hábiles. Se puede decir que si instala todos los parches correctos, tiene un firewall probado y activa sistemas avanzados de detección de intrusos en múltiples niveles, entonces en un solo caso será hackeado, es decir, Demasiado perezoso para hacer qué hacer, por ejemplo, para instalar el último parche para BIND.

Es realmente vergonzoso ser, sin saberlo, de color negro. Además, algunos scripts descargarán algunos “kits de raíces” conocidos o herramientas de espionaje populares, que te invaden. CPU, memoria, datos y ancho de banda. Estos chicos malos comenzaron a partir de ahí? Esto comienza con el kit de raíz.

Un kit de raíz es en realidad un paquete que los piratas informáticos usan para proveerse de acceso a su máquina a nivel de raíz. Una vez que el hacker puede acceder a su máquina como root, todo está listo. Lo único que puede hacer es hacer una copia de seguridad de sus datos con la eficiencia más rápida, limpiar el disco duro y reinstalar el sistema operativo. En cualquier caso, una vez que alguien recauda su máquina, la recuperación no es una tarea fácil.

¿Puedes confiar en tu comando ps?

El primer truco para descubrir el kit raíz es ejecutar el comando ps. Puede ser normal que veas todo. La ilustración es un ejemplo de una salida de comando ps. La pregunta real es: "¿Todo es realmente normal?" Un truco que los piratas informáticos utilizan a menudo es reemplazar el comando ps, y el ps en este reemplazo no mostrará los programas ilegales que se ejecutan en su máquina. Para probar esto, debe verificar el tamaño de su archivo ps, que generalmente se encuentra en /bin /ps. Tiene alrededor de 60kB en nuestra máquina Linux. Recientemente encontré un programa ps que fue reemplazado por un kit raíz. Esto tiene un tamaño de solo 12kB.

Otra estafa obvia es vincular el archivo del historial de comandos de la raíz a /dev /null. Este archivo de historial de comandos se usa para rastrear y registrar los comandos utilizados por un usuario después de iniciar sesión en una máquina Linux. El propósito de los hackers que redirigen sus archivos de historial a /dev /null es que no puede ver los comandos que han ingresado.

Puede acceder a su archivo de historial escribiendo historial en el indicador de comandos del shell. Si se encuentra usando el comando de historial y no aparece en la lista de comandos que ha usado anteriormente, debe revisar su archivo ~ /.bash_history. Si el archivo está vacío, ejecute un comando ls -l ~ /.bash_history. Después de ejecutar el comando anterior, verá una salida similar a la siguiente:

-rw ------- 1 jd jd 13829 10 de octubre 17:06 /home /jd /. Bash_history

Como alternativa, puede ver una salida similar a la siguiente:

lrwxrwxrwx 1 jd jd 9 oct 10 19:40 /home/jd/.bash_history - > /dev /null

Si ve el segundo, significa que el archivo .bash_history se ha redirigido a /dev /null. Este es un mensaje fatal, desconecte inmediatamente su máquina de Internet, haga una copia de seguridad de sus datos todo lo posible y comience a reinstalar el sistema.

Búsqueda de cuentas de usuarios desconocidos

Cuando planea hacer una prueba en su máquina Linux, es aconsejable verificar primero si hay una cuenta de usuario desconocida. La próxima vez que inicie sesión en su máquina Linux, escriba el siguiente comando:

grep: x: 0: /etc /passwd

Sólo una línea, soy Enfatice que en una instalación estándar de Linux, el comando grep solo debe devolver una línea, similar a la siguiente:

root: x: 0: 0: root: /root: /bin /bash

Si su sistema devuelve más de una línea después de escribir el comando grep anterior, puede haber un problema. Solo debe haber un usuario cuyo UID sea 0, y si el comando grep devuelve más de una línea, significa más de un usuario.

En serio, aunque estos son buenos métodos básicos para descubrir el comportamiento de piratería. Pero estas técnicas por sí solas no constituyen una seguridad suficiente, y su profundidad y amplitud son mucho peores que los sistemas de detección de intrusos mencionados en el artículo.