La monitorización de tu servidor(es) y host(s) es importante por una serie de razones, desde el seguimiento de las irrupciones hasta los requerimientos legales. Recuerda, más vale prevenir que curar. Existen una variedad de herramientas de monitorización generales disponibles en la sección de logs, desde el syslog hasta el auditd (que te permite auditar los ficheros que tienen abiertos los usuarios, programas en ejecución, etc). Sugeriría encarecidamente su uso. De igual forma, existe un número de programas más específicos para monitorizar el estado del sistema y evitar que los usuarios hagan cosas que no deberían.
bgcheck
El bgcheck se ejecuta en background y comprueba la tabla de procesos en busca de elementos que deberían estar ejecutándose (p. ej. robots de irc, crackers de contraseñas, etc.). Se puede descargar desde: http://blue.dhs.org/bgcheck/
Sxid
El Sxid comprueba el setuid y el setgid en busca de cambios, genera firmas MD5 de ficheros y generalmente te permite hacer un seguimiento de los cambios efectuados. Se puede conseguir en: ftp://marcus.seva.net/pub/sxid/
ViperDB
El ViperDB comprueba los programas setuid/setgid y las carpetas, y te puede notificar (vía syslog) acerca de cualquier cambio o resetear los permisos y la pertenencia a la forma en que deberían estar. El ViperDB crea una serie de bases de datos (en realidad textos planos) en el directorio raíz, p. ej.: /etc/.ViperDB podría contener:
/etc/login.defs,1180,-,root,rw-,root,r--,r--,Apr,15,18:03
/etc/minicom.users,1048,-,root,rw-,root,r--,r--,Mar,21,19:11
/etc/CORBA,1024,d,root,rwx,root,r-x,r-x,Jun,14,16:51
/etc/X11,1024,d,root,rwx,root,r-x,r-x,Jun,14,23:05
/etc/cron.d,1024,d,root,rwx,root,r-x,r-x,Apr,14,17:09
Por desgracia el ViperDB no parece ser capaz de manejar subdirectorios, de modo que tendrás que añadirlos al fichero viperdb.ini con algo como esto:
find /etc/ -type d >> /usr/local/etc/viperdb.ini
El viperdb.pl tiene 3 opciones, -init (crea un conjunto de bases de datos), -check (comprueba los ficheros contra las bases de datos, envía cualquier mensaje al syslog, y después vuelve a crear las bases de datos) y –checkstrict (comprueba los ficheros contra las bases de datos, resetea los permisos si es necesario, envía cualquier mensaje al syslog y después vuelve a crear las bases de datos). Lo cual significa que si se utiliza –check, se obtendrá una advertencia diciendo que /etc/passwd no es tiene permiso de escritura por el mundo, y puesto que vuelve a crear las bases de datos, la próxima vez que se ejecute viperdb NO mostrará la advertencia. Recomendaría ejecutar el viperdb exclusivamente en modo checkstrict, y asegurarte de que se ejecuta el viperdb con la opción –init después de manipular los permisos de cualquier fichero / carpeta de directorios protegidos. El ViperDB se encuentra disponible para descarga en: http://www.resentment.org/projects/viperdb/
Pikt
El Pikt se vio en la sección anterior, y se puede utilizar para monitorizar la actividad de los usuarios. Lo recomendaría para grandes instalaciones, pues es extremadamente flexible y potente. Se encuentra disponible en: http://pikt.uchicago.edu/pikt/
DTK
El Deception ToolKit es un conjunto de programas que emulan servicios bastante conocidos, para proporcionar una serie de lecturas falsas a los atacantes. El objetivo es confundir y retardar a los atacantes llevándoles a falsas conclusiones, el DTK se puede descargar desde: http://all.net/dtk/
Copyright © 1999, Kurt Seifried, José Antonio Revilla
Todos los derechos reservados.