LINUX:Rkhunter

---

→ retour au menu pour contrer les attaques

---

But

"rkhunter" (pour Rootkit Hunter) est un programme Unix qui permet de détecter les rootkits, portes dérobées et exploits. En premier temps, il va comparer les empreintes digitales avec une base de données qu'il s'est constituée et ensuite la présence de fichiers, de ports réseaux douteux,...

Installation

Il faut installer le module principal:

dnf install rkhunter

D'autres programmes sont souhaités:

dnf install unhide
dnf install tripwire

Un autre programme n'est pas dans la distribution: "skdet"; il faut donc le télécharger sur le site d'origine. Vérifiez la version du fichier directement sur le site "http://dvgevers.home.xs4all.nl/skdet/" Actuellement, c'est la version: 1.0-1 que l'on télécharge:

wget http://dvgevers.home.xs4all.nl/skdet/skdet-1.0-1.i586.rpm

Il peut être nécessaire d'installer glibc qui lui est cécessaire:

dnf install glibc

Ensuite on installe le logiciel:

rpm -iv skdet-1.0-1.i586.rpm

Configuration

Cet utilitaire est lancé chaque jour via le CRON de Linux. Le fichier "/etc/cron.daily/rkhunter" effectue cette tâche et envoie un mail contenant le rapport. Ce dernier utilise des variables d'environnement contenues dans le fichier "/etc/sysconfig/rkhunter". Là vous pouvez configurer l'adresse mail qui recevra ce rapport (variable MAILTO).

Le fichier de configuration principal se nomme "/etc/rkhunter.conf".

Dans ce fichier, il y a quelques options à considérer:

• l'option suivante définit les tests à faire: tous sont à faire:

---

ENABLE_TESTS=ALL

---

• j'ai eu deux cas de fichiers spéciaux considérés à problème; on les met sur liste blanche:

---

ALLOWHIDDENFILE=/usr/share/man/fr/man1/..1.gz
ALLOWHIDDENFILE=/usr/share/man/man5/.dockerignore.5.gz

---

• on peut éventuellement activer l'option concernant le mailing. On adapte l'adresse mail réceptrice:

---

MAIL-ON-WARNING=root@home.dom

---

Ensuite il faut reconstituer la base de données des signatures digitales avant le premier démarrage et après une mise à jour; on le verra au point suivant.

Avec cette configuration, je n'ai plus d'alarme.

Utilisation

La commande suivante permet de mettre à jour diverses informations se trouvant sur Internet:

rkhunter --update

Notons que cette commande est exécutée d'office lors du traitement par le CRON.

La commande suivante est importante; elle crée la base de données des signatures digitales de divers programmes importants de l'OS:

rkhunter --propupd

Il faut absolument l'exécuter avant la première série de tests. Il est utile de le faire après une mise à jour mais de façon intelligente; faites les tests et comparez ce qui est mis en alarme avec ce qui a été mis à jour.

Enfin on peut faire les tests:

rkhunter --check -sk

ou

rkhunter -c -sk

En plus du rapport succinct qui apparaît à l'écran, le fichier "/var/log/rkhunter/rkhunter.log" vous permet de repérer le détail du problème.

Tout problème est affiché en rouge ou sous forme d'un récapitulatif simple.

Tripwire

Si vous avez installé Tripwire, il faut le configurer pour pouvoir l'utiliser et qu'il soit pris en compte par Rkhunter..

Problème de code

Depuis quelques versions sous Fedora, subsiste un problème dans le code.

A l'affichage, nous avons le message d'erreur suivant:

---

grep: avertissement : + au début de l'expression

---

Ce message apparaît lors de l'analyse du test "apps" pour le module "sshd".

Pour le corriger, on doit ajouter un caractère d'escape.

La ligne n° 18353 du script "/usr/bin/rkhunter":

---

if [ -n "`echo \"${VERSION}\" | grep '+'`" ]; then

---

devient:

---

if [ -n "`echo \"${VERSION}\" | grep '\+'`" ]; then

---

On a ajouté un "\" devant le "+" de la commande "grep".

---

→ retour au menu pour contrer les attaques

---