Chkrootkit インストール
① ダウンロード、インストール
|
1 2 3 |
# cd /usr/local/src # wget ftp://ftp.chkrootkit.org/pub/seg/pac/chkrootkit.tar.gz # tar xvf chkrootkit.tar.gz |
➁/root/bin ディレクトリを作成し、そのディレクトリにchkrootkit コマンドを移動
|
1 2 |
# mkdir -p /root/bin # mv chkrootkit-0.58b/chkrootkit /root/bin |
➂chkrootkit を確認
|
1 |
# chkrootkit | grep INFECTED |
何も表示されなければ問題ありません
④chkrootkit 定期実行スクリプトの作成と権限変更
chkrootkit実行スクリプトを毎日自動実行されるディレクトリへ作成
|
1 |
# vi /etc/cron.daily/chkrootkit |
定期実行スクリプトの内容
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 |
#!/bin/bash PATH=/usr/bin:/bin:/root/bin LOG=/tmp/$(basename ${0}) # chkrootkit実行 chkrootkit > $LOG 2>&1 # ログ出力 cat $LOG | logger -t $(basename ${0}) # SMTPSのbindshell誤検知対応 if [ ! -z "$(grep 465 $LOG)" ] && \ [ -z $(/usr/sbin/lsof -i:465|grep bindshell) ]; then sed -i '/465/d' $LOG fi # upstartパッケージ更新時のSuckit誤検知対応 if [ ! -z "$(grep Suckit $LOG)" ] && \ [ -z "$(rpm -V `rpm -qf /sbin/init`)" ]; then sed -i '/Suckit/d' $LOG fi # rootkit検知時のみroot宛メール送信 [ ! -z "$(grep INFECTED $LOG)" ] && \ grep INFECTED $LOG | mail -s "chkrootkit report in `hostname`" root |
chkrootkit実行スクリプトへ実行権限付加
|
1 |
# chmod 700 /etc/cron.daily/chkrootkit |
⑥chkrootkit が使用するコマンドをバックアップ
chkrootkit が使用するコマンドが改ざんされた場合、rootkit を検出できなくなるので、これらのコマンドをバックアップしておきます。
必要な場合は、バックアップしたコマンドを使用してchkrootkit を実行します
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 |
# cd /root # mkdir /root/chkrootkit_cmd # cp `which --skip-alias awk cut echo egrep grep find head id ls netstat ps strings sed ssh uname` chkrootkit_cmd/ # ls -l /root/chkrootkit_cmd/ total 2820 -rwxr-xr-x 1 root root 763808 Jun 19 13:56 awk -rwxr-xr-x 1 root root 49128 Jun 19 13:56 cut -rwxr-xr-x 1 root root 36496 Jun 19 13:56 echo -rwxr-xr-x 1 root root 106 Jun 19 13:56 egrep -rwxr-xr-x 1 root root 209224 Jun 19 13:56 find -rwxr-xr-x 1 root root 169800 Jun 19 13:56 grep -rwxr-xr-x 1 root root 45016 Jun 19 13:56 head -rwxr-xr-x 1 root root 44928 Jun 19 13:56 id -rwxr-xr-x 1 root root 145280 Jun 19 13:56 ls -rwxr-xr-x 1 root root 148672 Jun 19 13:56 netstat -rwxr-xr-x 1 root root 124696 Jun 19 13:56 ps -rwxr-xr-x 1 root root 124080 Jun 19 13:56 sed -rwxr-xr-x 1 root root 922568 Jun 19 13:56 ssh -rwxr-xr-x 1 root root 36944 Jun 19 13:56 strings -rwxr-xr-x 1 root root 36664 Jun 19 13:56 uname |
⑦コピーしたコマンドにchkrootkit を実行
|
1 |
# chkrootkit -p /root/chkrootkit_cmd | grep INFECTED |
何も表示されなければ問題ありません
⑧バックアップしたコマンドを圧縮
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 |
# tar zcvf chkrootkit_cmd.tar.gz chkrootkit_cmd chkrootkit_cmd/ chkrootkit_cmd/awk chkrootkit_cmd/cut chkrootkit_cmd/echo chkrootkit_cmd/egrep chkrootkit_cmd/find chkrootkit_cmd/head chkrootkit_cmd/id chkrootkit_cmd/ls chkrootkit_cmd/netstat chkrootkit_cmd/ps chkrootkit_cmd/strings chkrootkit_cmd/sed chkrootkit_cmd/ssh chkrootkit_cmd/uname chkrootkit_cmd/grep |
|
1 2 3 4 5 6 7 |
# ls -l total 6360 -rw-------. 1 root root 1149 Jun 18 16:59 anaconda-ks.cfg -rw------- 1 root root 488 Jun 19 11:45 appid_stats.log drwxr-xr-x 2 root root 24 Jun 19 13:54 bin drwxr-xr-x 2 root root 184 Jun 19 13:56 chkrootkit_cmd -rw-r--r-- 1 root root 1334827 Jun 19 13:57 chkrootkit_cmd.tar.gz |
⑨chkrootkit使用コマンド(圧縮版)をroot宛にメール送信
|
1 |
# echo|mail -a chkrootkit_cmd.tar.gz -s chkrootkit_cmd.tar.gz root |
⑩Windows にchkrootkit_cmd.tar.gz ファイルをダウンロードして退避
⑪バックアップしたサーバー上のコマンドを削除
|
1 |
# rm -f chkrootkit_cmd.tar.gz |
Logwatch
①インストール
|
1 |
# dnf install logwatch -y |
②設定ファイルの編集
|
1 2 |
# cat /usr/share/logwatch/default.conf/logwatch.conf >> /etc/logwatch/conf/logwatch.conf # vi /etc/logwatch/conf/logwatch.conf |
|
1 2 3 4 5 6 7 |
●51 行目 「MailTo = root」の行頭に「#」を挿入し、その下行に通知を受け取りたいメールアドレスを設定 #MailTo = root MailTo = [メールアドレス] ●84行目ログ通知の詳細度を設定 #Detail = Low Detail = High |
③Logwatch のレポートを出力
|
1 |
# logwatch --output stdout |
下記のようなメッセージが出ます
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 |
################### Logwatch 7.11 (07/22/24) #################### Processing Initiated: Thu Jun 19 14:03:52 2025 Date Range Processed: yesterday ( 2025-Jun-18 ) Period is day. Detail Level of Output: 10 Type of Output/Format: stdout / text Logfiles for Host: Lepard ################################################################## --------------------- Kernel Audit Begin ------------------------ Number of audit daemon starts: 2 Number of audit initializations: 2 ------------------------------------------------------------------------------ ------------------------------------------------------------------------------ --------------------- Disk Space Begin ------------------------ Filesystem Size Used Avail Use% Mounted on /dev/mapper/almalinux-root 17G 6.0G 12G 35% / /dev/nvme0n1p2 960M 325M 636M 34% /boot ---------------------- Disk Space End ------------------------- --------------------- lm_sensors output Begin ------------------------ No sensors found! Make sure you loaded all the kernel drivers you need. Try sensors-detect to find out which these are. ---------------------- lm_sensors output End ------------------------- ###################### Logwatch End ######################### |
④設定したアドレスにレポートが届くかテストを行います。上記の様なログレポートメールが届いているか確認
|
1 |
# /etc/cron.daily/0logwatch |
ディスク使用率チェックスクリプト導入
1. スクリプト作成
|
1 2 |
# cd /var/www/system # vi disk_capacity_check.sh |
disk_capacity_check.shの内容
|
1 2 3 4 5 6 7 8 9 10 |
#!/bin/bash #通知先メールアドレス指定 MAIL="<your mailaddress>" DVAL=`/bin/df / | /usr/bin/tail -1 | /bin/sed 's/^.* \([0-9]*\)%.*$/\1/'` if [ $DVAL -gt 80 ]; then echo "Disk usage alert: $DVAL %" | mail -s "Disk Space Alert in `hostname`" $MAIL fi |
|
1 |
# chmod 700 disk_capacity_check.sh |
2. 実行確認
①現在の使用率を確認
|
1 |
# df -h |
次のように表示される
|
1 2 3 4 5 6 7 8 9 |
Filesystem Size Used Avail Use% Mounted on /dev/mapper/almalinux-root 17G 6.0G 11G 36% / devtmpfs 4.0M 0 4.0M 0% /dev tmpfs 836M 0 836M 0% /dev/shm tmpfs 335M 6.3M 329M 2% /run tmpfs 1.0M 0 1.0M 0% /run/credentials/systemd-journald.service /dev/nvme0n1p2 960M 325M 636M 34% /boot tmpfs 1.0M 0 1.0M 0% /run/credentials/getty@tty1.service tmpfs 168M 12K 168M 1% /run/user/1000 |
②使用率80%以上になるようダミーファイルを作成(例ではdummyfile という名前で8G程度)
|
1 |
# dd if=/dev/zero of=dummyfile bs=1M count=8000 |
③再度確認
|
1 |
# df -h |
を実行して80%以上になっていることを確認
④ディスク容量チェックスクリプトを実行
|
1 |
# /var/www/system/disk_capacity_check.sh |
設定したメールアドレスに本文の内容として「Disk usage alert: 82 %」のように記載のメールが届きます
⑤作成した「dummyfile」を削除
|
1 |
# rm dummyfile |
⑥定期実行設定
|
1 2 |
# crontab -e 30 2 * * * /var/www/system/disk_capacity_check.sh |