Pages : 1
#1 Le 27/05/2014, à 10:16
- Niobé
Rkhunter / Chrootkit sur système indépendant
Bonjour,
En surfant sur le net, j'ai cru comprendre que lorsqu'un système Linux (Ubuntu en ce qui nous intéresse) était infecté par des "gens sérieux", il y avait de grande chance (pour ne pas dire "à tous les coups) que Rkhunter et Chrootkit deviennent aveugles à la présence de rootkit car les hackers auront pris soin de pouvoir leur faire dire n'importe quoi (en l’occurrence : aucun warning).
Je me posais la question de savoir s'il était possible de démarrer une version d'Ubuntu saine sur une clé USB ou un disk SD pour pouvoir utiliser Rkhunter et Chrootkit pour scanner l'OS potentiellement compromis ? De cette manière là, Rkhunter et Chrootkit ne sont pas corrompus, ni trompés par le système d'exploitation potentiellement compromis.
Du coup, je suppose qu'il y a quelques modifications à leur apporter pour qu'ils scannent un disque autre que celui sur lequel ils sont installés.
Est-ce quelque chose de possible, de déjà fait, et dans ce cas, existe-t'il un tuto avec les modifications à leur apporter pour qu'il puissent effectuer cette tache ?
Je vous remercie d'avance !
Hors ligne
#2 Le 27/05/2014, à 12:02
- spinoziste
Re : Rkhunter / Chrootkit sur système indépendant
Salut .
Pour Chrootkit = -r ?
man
Nous mourrons tous .
Hors ligne
#3 Le 27/05/2014, à 22:05
- compte supprimé
Re : Rkhunter / Chrootkit sur système indépendant
Bonjour,
En surfant sur le net, j'ai cru comprendre que lorsqu'un système Linux (Ubuntu en ce qui nous intéresse) était infecté par des "gens sérieux", il y avait de grande chance (pour ne pas dire "à tous les coups) que Rkhunter et Chrootkit deviennent aveugles à la présence de rootkit car les hackers auront pris soin de pouvoir leur faire dire n'importe quoi (en l’occurrence : aucun warning).
Je me posais la question de savoir s'il était possible de démarrer une version d'Ubuntu saine sur une clé USB ou un disk SD pour pouvoir utiliser Rkhunter et Chrootkit pour scanner l'OS potentiellement compromis ? De cette manière là, Rkhunter et Chrootkit ne sont pas corrompus, ni trompés par le système d'exploitation potentiellement compromis.
Du coup, je suppose qu'il y a quelques modifications à leur apporter pour qu'ils scannent un disque autre que celui sur lequel ils sont installés.
Est-ce quelque chose de possible, de déjà fait, et dans ce cas, existe-t'il un tuto avec les modifications à leur apporter pour qu'il puissent effectuer cette tache ?
Je vous remercie d'avance !
Je serai curieux d'avoir le mode d'emploi précis (et spécial débutant, c'est à dire partant de zéro) pour que chacun tombant sur ta discussion sache comment cela fonctionne car c'est loin d'être con comme réflexion.
#4 Le 27/05/2014, à 23:04
- spinoziste
Re : Rkhunter / Chrootkit sur système indépendant
démarrer une version d'Ubuntu saine sur une clé USB
Une tails chiffrée .
Nous mourrons tous .
Hors ligne
#5 Le 28/05/2014, à 10:37
- bruno
Re : Rkhunter / Chrootkit sur système indépendant
Bonjour,
Si tu penses que ta machine a été compromise rkhunter et chrootkit sont très loin d'être des outils d'analyse suffisants.
Donc tu as une machine que tu soupçonne fortement d''avoir été compromise par une attaque quelconque. L'idée et de récupérer l'image disque on d'isoler la machine pour faire une analyse post-mortem afin d'essayer de savoir comment cette machine a été attaquée et ce qui a été installé dessus.
Il y a des outils spécialisés (« forensic tools » en anglais) comme sleuthkit et autopsy pour cela et./ou une distribution « live » comme CAINE qui propose ces outils et d'autres.
Hors ligne
#6 Le 28/05/2014, à 11:25
- compte supprimé
Re : Rkhunter / Chrootkit sur système indépendant
Bonjour,
Si tu penses que ta machine a été compromise rkhunter et chrootkit sont très loin d'être des outils d'analyse suffisants.
Donc tu as une machine que tu soupçonne fortement d''avoir été compromise par une attaque quelconque. L'idée et de récupérer l'image disque on d'isoler la machine pour faire une analyse post-mortem afin d'essayer de savoir comment cette machine a été attaquée et ce qui a été installé dessus.
Il y a des outils spécialisés (« forensic tools » en anglais) comme sleuthkit et autopsy pour cela et./ou une distribution « live » comme CAINE qui propose ces outils et d'autres.
Bonjour Bruno, c'est très intéressant. Je voulais te demander si tu as une petite expérience avec Caine, si l'on est obligé de faire une image disque de notre système avant d'utiliser Caine (afin que Caine analyse l'image disque, mais là en disant cela je ne sais pas si je me trompe, peut-être que Caine est prévue pour analyser le disque dur que l'on pense corrompu directement ?). Connais-tu un site Internet qui donne un mode d'emploi de Caine en français stp ? Merci beaucoup.
#7 Le 28/05/2014, à 11:58
- bruno
Re : Rkhunter / Chrootkit sur système indépendant
Caine est en fait une Ubuntu 12.04 à laquelle on été ajouté des outils d'analyse (voir la liste). Tu peux utiliser des disques physiques branchés sur la machine ou des images disques.
Comme je l'ai déjà dit c'est un ensemble d'outils pour l'autopsie* (forensic) d'une machine compromise. Leur usage nécessite une bonne maîtrise des outils de base de Linux (en ligne de commande, même si CAINE fournit des interfaces graphiques) et de lire et comprendre leurs documentations respectives (an anglais pour l'essentiel).
À ma connaissance pas de documentation en français.
Hors ligne
#8 Le 28/05/2014, à 12:21
- Niobé
Re : Rkhunter / Chrootkit sur système indépendant
Merci pour l'information. Je vais récupérer Caine et commencer à voir comment ça marche. Ça pourra toujours servir !
Hors ligne
#9 Le 28/05/2014, à 13:04
- compte supprimé
Re : Rkhunter / Chrootkit sur système indépendant
Dommage Bruno et merci, mais je ne suis que très peu anglophone, ce sera pour une prochaine fois. Si tu arrives à faire un petit mode d'emploi français Niobé, je suis preneur (je vois que l'anglais n'a pas l'air de te rebuter, mais peut-être je me trompe). En tous cas merci Bruno, de pointer le fait de savoir se servir des outils de Caine en un premier lieu (en lisant leur doc) mais aussi d'interpréter leur résultats, ça ce sera aussi dans la doc de chaque log je pense, mais bon, cela m'est inaccessible, bon courage Niobé... donnes nous des news stp.
#10 Le 28/05/2014, à 13:40
- Niobé
Re : Rkhunter / Chrootkit sur système indépendant
Mon OS n'a pas de raison d'être "post-mortem", il date d'une semaine. Mais je vais me pencher sur Caine quand même, ça ne pourra être qu'éducatif et préventif. Je pourrais éventuellement alimenter ce topic si j'ai des observations ou des questions (comme d'autres, évidemment), et cela pourra peut-être faire office de "tuto" en français (a posteriori) ! 
Hors ligne
#11 Le 28/05/2014, à 13:49
- spinoziste
Re : Rkhunter / Chrootkit sur système indépendant
Il existe aussi un outil nommé Lynis .
Nous mourrons tous .
Hors ligne
#12 Le 28/05/2014, à 14:06
- compte supprimé
Re : Rkhunter / Chrootkit sur système indépendant
Merci Niobé, bonne nouvelle, bonne approche, si tu arrives à t'en sortir tout seul et que un tout petit mode d'emploi peut être à ta portée, n'hésites pas, on manque de spécifications sur Caine en français, je n'ai rien trouvé sur Google Fr, donc merci oui...
Merci Spinoziste, je vais jeter un œil aussi. Il y a tellement d’outils qui ne sont pas francisés, que c'est vraiment dommage qu'ils nous restent inaccessibles, vraiment dommage.
#13 Le 28/05/2014, à 14:19
- spinoziste
Re : Rkhunter / Chrootkit sur système indépendant
English rulez !
Nous mourrons tous .
Hors ligne
Pages : 1