はじめに

本記事はLinuxのセキュリティ対策として、ホストの侵入検知について記載しています。

ホストの侵入検知の目的は、ルートキットの存在やマルウェアを検知することです。

本記事では以下のツール（※）を扱います。

（※）バージョンについては本記事執筆時点の最新バージョンを使用

chkrootkit

chkrootkitはルートキットの存在を検知するためのツールです。
CentOSの標準リポジトリには、Ubuntuのようにchkrootkitのパッケージは含まれていません。

chkrootkitはchkrootkit.orgのDownloadからダウンロードできます。
本記事ではCentOS 7を例にchkrootkitの導入手順について解説します。

なお、chkrootkitは以下のコマンドを使用します。既に改ざんされた後では意味がないため、導入時には考慮が必要です。また、chkrootkitはrootkitを検出しても自動的に対処する機能はないため、検出後は手動で対応する必要があります。

次のコマンドは、chkrootkitスクリプトによって使用されます。

awk、cut、echo、egrep、find、head、id、ls、netstat、ps、strings、sed、uname

必要なパッケージのインストール
# yum groups install -y "Development Tools"
# yum install -y wget glibc-static
chkrootkitのダウンロード
# wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
解凍
# tar xzvf chkrootkit.tar.gz
make
# cd chkrootkit-0.53
# make sense
シンボリックリンク作成
# cd ../; mv chkrootkit-0.53/ /usr/local/
# ln -s /usr/local/chkrootkit-0.53/ /usr/local/chkrootkit

cronで設定することで定期的に検査を行うことができます。
以下は毎日3時に実行し、メールで通知します。

0 3 * * * (cd /usr/local/chkrootkit; ./chkrootkit 2>&1 | mail -s "chkrootkit output" root)

rkhunterもルートキットの存在を検知するためのツールです。
chkrootkitと同じくCentOSの標準リポジトリには含まれてはいないため、rkhunterをsourceforge.netからダウンロードします。あるいはEPELリポジトリからインストールすることができます。

rkhunterのダウンロード
# wget https://sourceforge.net/projects/rkhunter/files/rkhunter/1.4.6/rkhunter-1.4.6.tar.gz
解凍
# tar xzvf rkhunter-1.4.6.tar.gz
rkhunterのインストール
# cd rkhunter-1.4.6
# ./installer.sh --install

EPELリポジトリからインストールする場合は、以下の手順でインストールできます。

rkhunterの動作設定は/etc/rkhunter.confで設定し、デフォルトのデータベースディレクトリは/var/lib/rkhunter/dbになります。ルートキットの検出を実行すると、 /var/log/rkhunter.logファイルにログが出力されます。

rkhunterのアップデート
# rkhunter --update
コマンドの実行ファイルの状態を更新
# rkhunter --propupd
ルートキットの検出（--checkでルートキットの検知を実行、-skip-keypressでEnterの入力を行わない、--report-warnings-onlyでコマンドの結果について警告のみ表示）
# rkhunter --check --skip-keypress --report-warnings-only

maldetect（Linux Malware Detect）はGNU GPLv2のライセンスのもとリリースされている無料のマルウェア検知ツールです。公式ブログはR-FX NETWORKSを参照。

maldetectの特徴は以下になります。

（※）特定のマルウェア検体に共通するバイトシーケンスのこと

maldetectによってインストールされたcronjobは/etc/cron.daily/maldetに配備されます。定期的にスキャンおよびシグネチャのアップデートを行う様に設定されます。

maldetectの動作設定は何も指定しない場合、/usr/local/maldetect/conf.maldetにインストールされます。

サーバを構築して運用する場合は、システムを管理する責任があります。

システム管理は知識の集合です。無理にお金をかけなくてもOSS等を利用することで、セキュリティを向上することはできます。