rootkit検知ツール導入(chkrootkit)

最終更新日： 2014.03.29

■概要

chkrootkitというrootkit検知ツールを導入して、rootkitがLinuxサーバーにインストールされてしまっていないかチェックする。
chkrootkitは、以下のコマンドを使用してチェックするため、コマンド自体がrootkitを検知できないように改竄されてからでは意味がないので、Linuxインストール後の初期の段階で導入しておくのが望ましい。

【chkrootkitが使用するコマンド】
awk, cut, echo, egrep, find, head, id, ls, netstat, ps, strings, sed, uname

なお、chkrootkitが検知できるのは既知のrootkitのみであり、新たなrootkitの検知はできない。
また、rootkitが設置されていないにもかかわらず、chkrootkitが誤ってrootkitを検知したとアラームをあげる場合もあるので、chkrootkitによるrootkitの検知結果は参考程度としておく。

■chkrootkitインストール

EPELリポジトリ導入(EPEL)を参照してEPELリポジトリを導入する

[root@scientific ~]# yum -y install chkrootkit　←　chkrootkitインストール

■chkrootkit確認

[root@scientific ~]# chkrootkit | grep INFECTED　←　chkrootkit実行
上記chkrootkit実行結果として"INFECTED"という行が表示されなければ問題なし

■chkrootkit定期自動実行設定

[root@scientific ~]# vi chkrootkit　←　chkrootkit実行スクリプト作成
#!/bin/bash

PATH=/usr/bin:/bin

TMPLOG=`mktemp`

# chkrootkit実行
chkrootkit > $TMPLOG

# ログ出力
cat $TMPLOG | logger -t chkrootkit

# SMTPSのbindshell誤検知対応
if [ ! -z "$(grep 465 $TMPLOG)" ] && \
   [ -z $(/usr/sbin/lsof -i:465|grep bindshell) ]; then
        sed -i '/465/d' $TMPLOG
fi

# upstartパッケージ更新時のSuckit誤検知対応
if [ ! -z "$(grep Suckit $TMPLOG)" ] && \
   [ -z $(rpm -V `rpm -qf /sbin/init`) ]; then
        sed -i '/Suckit/d' $TMPLOG
fi

# rootkit検知時のみroot宛メール送信
[ ! -z "$(grep INFECTED $TMPLOG)" ] && \
grep INFECTED $TMPLOG | mail -s "chkrootkit report in `hostname`" root

rm -f $TMPLOG

[root@scientific ~]# chmod 700 chkrootkit　←　chkrootkit実行スクリプトへ実行権限付加

[root@scientific ~]# mv chkrootkit /etc/cron.daily/　←　chkrootkit実行スクリプトを毎日自動実行されるディレクトリへ移動

これで毎日定期的にrootkitがインストールされていないかチェックされ、インストールされていた場合はroot宛にメールが届くようになる。また、chkrootkitの実行結果は/var/log/messagesに保存される。

■chkrootkitで使用する安全なコマンドの確保

chkrootkitが使用するコマンド群が既に改竄されていた場合、rootkitを正常に検出できなくなるので、chkrootkitが使用するコマンド群をコピーしておき、必要な場合にはそのコマンド群を使用してchkrootkitを実行する。

[root@scientific ~]# mkdir chkrootkitcmd　←　chkrootkit使用コマンド退避先ディレクトリ作成

[root@scientific ~]# cp `which --skip-alias awk cut echo egrep find head id ls netstat ps strings sed uname` chkrootkitcmd/
　←　chkrootkit使用コマンドを退避先ディレクトリへコピー

[root@scientific ~]# chkrootkit -p /root/chkrootkitcmd|grep INFECTED
　←　退避したchkrootkit使用コマンドを使用してchkrootkit実行

[root@scientific ~]# zip -r chkrootkitcmd.zip chkrootkitcmd/　←　chkrootkit使用コマンド退避先ディレクトリ圧縮
  adding: chkrootkitcmd/ (stored 0%)
  adding: chkrootkitcmd/head (deflated 53%)
  adding: chkrootkitcmd/netstat (deflated 58%)
  adding: chkrootkitcmd/find (deflated 50%)
  adding: chkrootkitcmd/sed (deflated 54%)
  adding: chkrootkitcmd/strings (deflated 53%)
  adding: chkrootkitcmd/ps (deflated 59%)
  adding: chkrootkitcmd/cut (deflated 53%)
  adding: chkrootkitcmd/uname (deflated 54%)
  adding: chkrootkitcmd/ls (deflated 53%)
  adding: chkrootkitcmd/echo (deflated 56%)
  adding: chkrootkitcmd/id (deflated 55%)
  adding: chkrootkitcmd/egrep (deflated 50%)
  adding: chkrootkitcmd/awk (deflated 52%)

[root@scientific ~]# rm -rf chkrootkitcmd　←　chkrootkit使用コマンド退避先ディレクトリ削除

[root@scientific ~]# yum -y install sharutils
　←　mailコマンドでzipファイル添付メールを送信するのに必要なuuencodeコマンドインストール

[root@scientific ~]# uuencode chkrootkitcmd.zip chkrootkitcmd.zip|mail root
　←　chkrootkit使用コマンド(圧縮版)をroot宛にメール送信

[root@scientific ~]# rm -f chkrootkitcmd.zip　←　chkrootkit使用コマンド(圧縮版)削除

■関連コンテンツ

▲このページのトップへ戻る

プライバシーポリシー