CHKROOTKIT - installation

Chkrootkit est un outil permettant de détecter les traces d'une attaque et rechercher la présence d'un rootkit sur un système Unix/Linux en vérifiant les quelques points suivants:) sont présent.
- si des fichiers exécutables du système ont été modifiés
- si la carte réseau est en mode "promiscuous"
- si un ou des vers LKM (Linux Kernel Module) sont présent.

PRE REQUIS
GCC est nécessaire pour l’installation de chkrootkit. Il faut donc l’installer:
#yum install gcc




INSTALLATION
#cd /usr/local
#wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
#tar zxvf chkrootkit.tar.gz
#rm -f chkrootkit.tar.gz
#cd chkrootkit-0.48
#make sense
#ln -s /usr/local/chkrootkit-0.48/chkrootkit /usr/sbin/chkrootkit

CONFIGURATION DU REPORTING
Dans /etc/cron.weekly/

Créer le fichier chkrootkit.sh contenant:

#!/bin/bash
chkrootkit > /tmp/chkrootkit-`date +%Y%m%d`.log 2>&1 cat /tmp/chkrootkit-`date +%Y%m%d`.log | mail -s "[CHKROOTKIT] $HOSTNAME: Rapport" toto@ladmin.com

BASH - taille de l'historique et affichage

1.    INTRODUCTION

1.1.    Présentation
Cette procédure indique les manières dont on peut contrôler la taille de l'historique ainsi que sont affichage.

1.2.    Champ d'application
Tout serveur Unix étant muni d'un Bourne Shell (BASH).


2.    APPLICATION DES MODIFICATIONS
Les modifications qui suivent sont à indiquer dans le fichier .bashrc ou .bash_profile de l'utilisateur dont on veut récupérer l'historique.
2.1.    Taille de l'historique
Est gérée par les variables : HISTFILESIZE et HISTFILE.
Etendue de l'historique à 10000, au lieu de 500 par défaut.

HISTFILESIZE=10000

2.2.    Affinage de l'affichage
Nous voulons afficher la date et l'heure des commandes passées.

HISTTIMEFORMAT="[%Y%m%d-%H:%M:%S]"

SSH - Clé publique/privée

1.    PRESENTATION

Face au problème d’hétérogénéité des mots de passe root, nous avons souhaité par soucis de rapidité dans nos tâche d’administration, mettre en place un système d’authentification par clé.
L'authentification par clé fonctionne grâce à 3 composants :
•    Une clé publique : elle sera exportée sur chaque hôte sur lequel on souhaite pouvoir se connecter.
•    Une clé privée : elle permet de prouver son identité aux serveurs.
•    Une passphrase : Permet de sécuriser la clé privée (notons la subtilité, passphrase et pas password ... donc « phrase de passe » et non pas « mot de passe »).
La sécurité est vraiment accrue car la passphrase seule ne sert à rien sans la clé privée, et vice-versa. Cependant, nous utiliserons une passphrase vide ce qui ne constitue pas un trou de sécurité. En effet, les clés en elle-même ont déjà un indice de sécurité plus important que l’authentification par mot de passe.


2.    SERVEUR
Les actions à mener sur le serveur ssh sont les suivantes :
Package à installer :
•    openssh-server
Configuration :
Vérifié la présence des valeurs suivantes dans le fichier /etc/ssh/sshd_config :
HostKey /etc/ssh/ssh_host_key
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
StrictModes yes
AuthorizedKeysFile      .ssh/authorized_keys
Vérifié les droits sur les répertoires :
700 sur /root/.ssh
644 sur /root/.ssh/authorized_keys

3.    CLIENT
Les actions à mener sur le client ssh sont les suivantes :
Si le jeu de clé n’est pas crée la commande ci-dessous permettra sa création. Sinon nous utiliserons le jeu de clé existant.
Pour savoir si un jeu de clé existe, il faut vérifier que les fichiers suivant sont présent:
/root/.ssh/id_rsa et /root/.ssh/id_rsa.pub
Ou
 /root/.ssh/id_dsa et /root/.ssh/id_dsa.pub
Pour crée la paire de clé :
ssh-keygen -b 2048 -t dsa
On copie ensuite la clé publique sur le serveur :
scp root@bruns:/root/.ssh/id_dsa.pub /root/.ssh/
cd /root/.ssh
cat id_dsa.pub >> authorized_keys
rm –rf id_dsa.pub

4.    CONNEXION PAR CLE
Pour ce connecté il suffit désormais de taper la commande suivante :
ssh root@serveur
ssh root@ip

IRIX, installer un package

How do I install a package on IRIX?
Open source comes in .tardist extension files. tardist files are tar archives of inst (SGI auto-install) files. They normally install automatically when you click on them in your browser. If you didn't have auto-installation configured in your browser this may fail, in which case you may follow the following manual procedure:
    % tar xvf xxxx.tardist    # untar that tardist file
    % su            # become superuser
    # inst -f .            # install from current dir
    inst> go
    inst> quit
Automating this process:
The utility tardist does all the above automatically. To configure your browser to support auto-install (i.e. calling tardist or SoftwareManager automatically when you click on a .tardist file on the web) you should have two entries added to your mailcap file (either your personal ~/.mailcap or, depending on your browser version, the system one in /var/netscape/.../mailcap, /usr/local/.../mailcap, or equivalent).
    application/x-install; \
    /usr/sbin/SoftwareManager -a -F %s ; \
    description="SGI automatic software installation"
    application/x-tardist; \
    /usr/sbin/SoftwareManager -a -f %s ; \
    description="SGI software distribution archive"
All this should work out of the box on recent IRIX releases. It is just on older IRIX systems (6.2) that you may need to go through the manual procedure.


Cf. http://freeware.sgi.com/faq.html