chkrootkit

rootkit検知ツール導入(chkrootkit)を参考に設定をおこなっていきます。

chkrootkitインストール

[root@fedora ~]# yum -y install chkrootkit　←　chkrootkitインストール

chkrootkit確認

[root@fedora ~]# chkrootkit|grep INFECTED　←　chkrootkit実行
上記chkrootkit実行結果として"INFECTED"という行が表示されなければ問題なし

chkrootkit定期自動実行設定

[root@fedora ~]# vi chkrootkit.sh　←　chkrootkit実行スクリプト作成
#!/bin/bash

# chkrootkit実行
chkrootkit > /var/log/chkrootkit.log 2>&1

# SMTPSのbindshell誤検知対応
TMPLOG=`mktemp`
grep INFECTED /var/log/chkrootkit.log > $TMPLOG
if [ ! -z "$(grep 465 $TMPLOG)" ]; then
if [ -z $(/usr/sbin/lsof -i:465|grep bindshell) ]; then
sed -i '/465/d' $TMPLOG
fi
fi

# chkrootkit実行結果にINFECTED行があった場合のみroot宛メール送信
if [ -s $TMPLOG ]; then
cat $TMPLOG|mail -s "chkrootkit report in `hostname`" root
fi

rm -f $TMPLOG

[root@fedora root]# chmod 700 chkrootkit.sh　←　chkrootkit実行スクリプトに実行権限付加

[root@fedora root]# crontab -e　←　cron編集
00 06 * * * /root/chkrootkit.sh　←　追加(毎日6:00にchkrootkit実行スクリプトを実行する)

chkrootkitで使用する安全なコマンドの確保

これは省略します。