Chkrootkit インストール
chkrootkitは、システム内部の異常な挙動や、改ざんされたバイナリを検出することで、こうしたルートキットの存在を特定することを目的としています。
① ダウンロード、インストール
|
1 2 3 |
# cd /usr/local/src # wget ftp://ftp.chkrootkit.org/pub/seg/pac/chkrootkit.tar.gz # tar xvf chkrootkit.tar.gz |
➁/usr/bin にchkrootkit コマンドを移動
|
1 |
# mv chkrootkit-0.58b/chkrootkit /usr/bin |
➂chkrootkit を確認
|
1 |
# chkrootkit | grep INFECTED |
何も表示されなければ問題ありません
④chkrootkit 定期実行スクリプトの作成と権限変更
chkrootkit実行スクリプトを毎日自動実行されるディレクトリへ作成
|
1 |
# vi /etc/cron.daily/chkrootkit |
定期実行スクリプトの内容
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 |
#!/bin/bash PATH=/usr/bin:/bin LOG=/tmp/$(basename ${0}) # chkrootkit実行 chkrootkit > $LOG 2>&1 # ログ出力 cat $LOG | logger -t $(basename ${0}) # SMTPSのbindshell誤検知対応 if [ ! -z "$(grep 465 $LOG)" ] && \ [ -z $(/usr/sbin/lsof -i:465|grep bindshell) ]; then sed -i '/465/d' $LOG fi # upstartパッケージ更新時のSuckit誤検知対応 if [ ! -z "$(grep Suckit $LOG)" ] && \ [ -z "$(rpm -V `rpm -qf /sbin/init`)" ]; then sed -i '/Suckit/d' $LOG fi # rootkit検知時のみroot宛メール送信 [ ! -z "$(grep INFECTED $LOG)" ] && \ grep INFECTED $LOG | mail -s "chkrootkit report in `hostname`" root |
chkrootkit実行スクリプトへ実行権限付加
|
1 |
# chmod 700 /etc/cron.daily/chkrootkit |
⑥chkrootkit が使用するコマンドをバックアップ
chkrootkit が使用するコマンドが改ざんされた場合、rootkit を検出できなくなるので、これらのコマンドをバックアップしておきます。
必要な場合は、バックアップしたコマンドを使用してchkrootkit を実行します
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 |
# cd /root # mkdir /root/chkrootkit_cmd # cp `which --skip-alias awk cut echo egrep grep find head id ls netstat ps strings sed ssh uname` chkrootkit_cmd/ # ls -l /root/chkrootkit_cmd/ total 2788 -rwxr-xr-x 1 root root 768176 Dec 1 15:25 awk -rwxr-xr-x 1 root root 53216 Dec 1 15:25 cut -rwxr-xr-x 1 root root 36496 Dec 1 15:25 echo -rwxr-xr-x 1 root root 106 Dec 1 15:25 egrep -rwxr-xr-x 1 root root 209304 Dec 1 15:25 find -rwxr-xr-x 1 root root 165872 Dec 1 15:25 grep -rwxr-xr-x 1 root root 45016 Dec 1 15:25 head -rwxr-xr-x 1 root root 44920 Dec 1 15:25 id -rwxr-xr-x 1 root root 141184 Dec 1 15:25 ls -rwxr-xr-x 1 root root 148840 Dec 1 15:25 netstat -rwxr-xr-x 1 root root 120584 Dec 1 15:25 ps -rwxr-xr-x 1 root root 120176 Dec 1 15:25 sed -rwxr-xr-x 1 root root 897552 Dec 1 15:25 ssh -rwxr-xr-x 1 root root 36936 Dec 1 15:25 strings -rwxr-xr-x 1 root root 36664 Dec 1 15:25 uname |
⑦コピーしたコマンドにchkrootkit を実行
|
1 |
# chkrootkit -p /root/chkrootkit_cmd | grep INFECTED |
何も表示されなければ問題ありません
⑧バックアップしたコマンドを圧縮
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 |
# tar zcvf chkrootkit_cmd.tar.gz chkrootkit_cmd chkrootkit_cmd/ chkrootkit_cmd/awk chkrootkit_cmd/cut chkrootkit_cmd/echo chkrootkit_cmd/egrep chkrootkit_cmd/find chkrootkit_cmd/head chkrootkit_cmd/id chkrootkit_cmd/ls chkrootkit_cmd/netstat chkrootkit_cmd/ps chkrootkit_cmd/strings chkrootkit_cmd/sed chkrootkit_cmd/ssh chkrootkit_cmd/uname chkrootkit_cmd/grep |
|
1 2 3 4 5 6 7 |
# ls -l -rw-------. 1 root root 1219 Nov 29 12:34 anaconda-ks.cfg -rw------- 1 root root 450 Dec 1 14:28 appid_stats.log drwxr-xr-x 2 root root 184 Dec 1 15:25 chkrootkit_cmd -rw-r--r-- 1 root root 1322265 Dec 1 15:26 chkrootkit_cmd.tar.gz --------------------------------------------------------------------------- --------------------------------------------------------------------------- |
⑨Windows にchkrootkit_cmd.tar.gz ファイルをダウンロードして退避
⑩バックアップしたサーバー上のコマンドを削除
|
1 |
# rm -f chkrootkit_cmd.tar.gz |
Logwatch
①インストール
|
1 |
# dnf install logwatch -y |
②設定ファイルの編集
|
1 2 |
# cat /usr/share/logwatch/default.conf/logwatch.conf >> /etc/logwatch/conf/logwatch.conf # vi /etc/logwatch/conf/logwatch.conf |
|
1 2 3 4 5 6 7 |
# 77 行目 : 通知を受け取りたいメールアドレスを設定 #MailTo = root MailTo = [メールアドレス] # 116行目 : ログ通知の詳細度を設定 #Detail = Low Detail = High |
③Logwatch のレポートを出力
|
1 |
# logwatch --output stdout |
下記のようなメッセージが出ます
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 |
################### Logwatch 7.11 (07/22/24) #################### Processing Initiated: Mon Dec 1 15:41:34 2025 Date Range Processed: yesterday ( 2025-Nov-30 ) Period is day. Detail Level of Output: 10 Type of Output/Format: stdout / text Logfiles for Host: Lepard ################################################################## --------------------- Kernel Audit Begin ------------------------ Number of audit daemon starts: 1 Number of audit initializations: 1 **Unmatched Entries** auditd[1111]: audit dispatcher initialized with q_depth=2000 and 1 active plugins: 1 Time(s) ---------------------- Kernel Audit End ------------------------- ------------------------------------------------------------------------------ ------------------------------------------------------------------------------ --------------------- Disk Space Begin ------------------------ Filesystem Size Used Avail Use% Mounted on /dev/mapper/almalinux-root 17G 7.4G 9.6G 44% / /dev/nvme0n1p2 960M 348M 613M 37% /boot ---------------------- Disk Space End ------------------------- --------------------- lm_sensors output Begin ------------------------ No sensors found! Make sure you loaded all the kernel drivers you need. Try sensors-detect to find out which these are. ---------------------- lm_sensors output End ------------------------- ###################### Logwatch End ######################### |
④設定したアドレスにレポートが届くかテストを行います。上記の様なログレポートメールが届いているか確認
|
1 |
# /etc/cron.daily/0logwatch |
ディスク使用率チェックスクリプト導入
1. スクリプト作成
|
1 2 |
# cd /var/www/system # vi disk_capacity_check.sh |
disk_capacity_check.shの内容
|
1 2 3 4 5 6 7 8 9 10 |
#!/bin/bash #通知先メールアドレス指定 MAIL="<your mailaddress>" DVAL=`/bin/df / | /usr/bin/tail -1 | /bin/sed 's/^.* \([0-9]*\)%.*$/\1/'` if [ $DVAL -gt 80 ]; then echo "Disk usage alert: $DVAL %" | mail -s "Disk Space Alert in `hostname`" $MAIL fi |
|
1 |
# chmod 700 disk_capacity_check.sh |
2. 実行確認
①現在の使用率を確認
|
1 |
# df -h |
次のように表示される
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 |
Filesystem Size Used Avail Use% Mounted on /dev/mapper/rl-root 17G 7.4G 9.6G 44% / devtmpfs 1.3G 0 1.3G 0% /dev tmpfs 1.4G 0 1.4G 0% /dev/shm tmpfs 536M 7.9M 528M 2% /run tmpfs 1.0M 0 1.0M 0% /run/credentials/systemd-journald.service /dev/loop1 105M 105M 0 100% /var/lib/snapd/snap/core/17247 /dev/loop4 51M 51M 0 100% /var/lib/snapd/snap/snapd/25577 /dev/loop2 67M 67M 0 100% /var/lib/snapd/snap/core24/1225 /dev/loop3 128K 128K 0 100% /var/lib/snapd/snap/hello-world/29 /dev/loop0 71M 71M 0 100% /var/lib/snapd/snap/certbot/5057 /dev/nvme0n1p2 960M 344M 617M 36% /boot tmpfs 1.0M 0 1.0M 0% /run/credentials/getty@tty1.service tmpfs 268M 16K 268M 1% /run/user/1000 |
②使用率80%以上になるようダミーファイルを作成(例ではdummyfile という名前で8G程度)
|
1 |
# dd if=/dev/zero of=dummyfile bs=1M count=8000 |
③再度確認
|
1 |
# df -h |
を実行して80%以上になっていることを確認
④ディスク容量チェックスクリプトを実行
|
1 |
# /var/www/system/disk_capacity_check.sh |
設定したメールアドレスに本文の内容として「Disk usage alert: 90 %」のように記載のメールが届きます
⑤作成した「dummyfile」を削除
|
1 |
# rm dummyfile |
⑥定期実行設定
|
1 2 |
# crontab -e 30 2 * * * /var/www/system/disk_capacity_check.sh |
