rkhunter چیه و چطور Rootkit پیدا کنیم؟
rkhunter (Rootkit Hunter) یه ابزار رایگان و متن بازه برای اسکن سرور لینوکس و پیدا کردن Rootkit بدافزار و فایل های مشکوک کارش اینه که سیستم رو بررسی میکنه و نشونه های نفوذ رو پیدا میکنه
Rootkit یه نوع بدافزار مخفیکاره که طوری طراحی شده که خودش رو از دید کاربر و حتی ابزارهای مانیتورینگ پنهان کنه rkhunter دقیقا برای شکار همین مدل تهدیدها ساخته شده
rkhunter چیکار میکنه؟
اسکن فایل های سیستمی
فایل های مهم سیستم مثل دستورات پایه (ls, ps, netstat و...) رو با یه دیتابیس از هش‌های معتبر مقایسه میکنه اگه فایلی دستکاری شده باشه هش میگیره
پیدا کردن Rootkit های معروف
یه لیست از Rootkit های شناخته شده داره و میگرده ببینه اثری ازشون روی سیستم هست یا نه
بررسی تنظیمات امنیتی
پرمیشن فایل های مهم تنظیمات SSH کرنل و سرویس ها رو چک میکنه و اگه جای مشکوکی ببینه گزارش میده
اسکن پورت‌های مخفی
پورت هایی که توسط Rootkit باز شدن ولی خودشون رو مخفی کردن تا حدی قابل شناسایی هستن
بررسی تغییرات فایل‌ها
با هر اسکن وضعیت فایل‌ها رو ذخیره میکنه اسکن بعدی تغییرات رو نشون میده
نصب rkhunter
اوبونتو/دبیان
sudo apt install rkhunter
CentOS/RHEL
sudo yum install rkhunter
بروزرسانی دیتابیس
قبل از اولین اسکن دیتابیس Rootkit ها رو آپدیت کن:
sudo rkhunter --update
فایل دیتابیس خواص فایل های سیستمی رو هم آپدیت کن:
sudo rkhunter --propupd
این دستور از وضعیت فعلی فایل های سیستم یه اسنپ شات میگیره و به عنوان مرجع ذخیره میکنه
اجرای اسکن کامل
sudo rkhunter --check
اسکن چند دقیقه طول میکشه وسطش چند بار می ایسته و ازت سوال میپرسه باید Enter بزنی تا ادامه بده
برای اسکن خودکار بدون توقف:
sudo rkhunter --check --skip-keypress
خوندن خروجی
خروجی rkhunter سه حالت داره:
OK: همه چی نرماله
Warning: یه چیزی مشکوکه باید بررسی کنی
Not found: فایل یا ابزاری پیدا نشده
هشدارهای رایج و بی خطر:
بعضی فایل های مخفی توی /etc که عادی هستن
پکیج های نصب نشده که rkhunter انتظار داره باشن
هشدارهای خطرناک:
فایل سیستمی دستکاری شده
Rootkit شناخته شده پیدا شده
پورت مخفی باز
فایل‌های اجرایی مشکوک توی /tmp یا /dev
چک کردن لاگ اسکن
sudo cat /var/log/rkhunter.log
اگه فقط Warning ها رو میخوای:
sudo grep -i warning /var/log/rkhunter.log
