rkhunter (pour Rootkit Hunter) est un programme Unix qui permet de détecter les rootkits, portes dérobées et exploits. Pour cela, il compare le hash MD5 des fichiers importants avec les hash connus, qui sont accessibles à partir d’une base de données en ligne. Ainsi, il peut détecter les répertoires généralement utilisés par les rootkit, les permissions anormales, les fichiers cachés, les chaînes suspectes dans le kernel et peut effectuer des tests spécifiques à Linux et FreeBSD.
Rappelons cependant qu’en 2004, des chercheurs chinois, Xiaoyun Wang, Dengguo Feng, Xuejia Lai et Hongbo Yu, ont démontré qu’on pouvait créer des fichiers distincts de même signature MD5 en raison d’une propriété d’invariance mathématique de ce procédé.
Pour l’installer avec yum :
yum install rkhunter.noarchIl faut lancer la commande suivante pour initialiser la base contenant les propriétés des fichiers surveillés. Cette commande doit être exécutée sur un système sain !
rkhunter --propupdEnsuite, il faut mettre en place un cron qui le mettra à jour puis le lancera quotidiennement avec envoie d’un mail contenant les warnings.
Créer le fichier rkhunter.sh
vi /etc/cron.daily/rkhunter.sh
Le fichier rkhunter.sh doit contenir
#!/bin/sh ( /usr/bin/rkhunter --versioncheck --nocolors && /usr/bin/rkhunter --update --nocolors && /usr/bin/rkhunter --cronjob --report-warnings-only --no-mail-on-warning 2>&1 ) | /bin/mail -s "RKhunter Scan Details on `/bin/hostname`" root
Donner au fichier créé les bons droits
chmod 755 /etc/cron.daily/rkhunter.sh
C’est en place, félicitations !
Commentaires récents