Böse Sachen finden ...

Da besonders Shared-Webserver mit Perl/PHP gern das Ziel diverser Hackversuche sind, müssen diese natürlich besonders überwacht werden. Zur Unterstützung stetigen manuellen Prüfung auf der Konsole und zusätzlichen Nagios-Überwachung habe ich noch ein kleines Perlscript geschrieben, welches mehrmals täglich via Cron aufgerufen wird. Dabei wird die Ausgabe von "netstat" analysiert. Sollten über die Whiltelist von Ports/Diensten hinaus Aktivitäten stattfinden, wird eine simple Mail generiert und an den Admin gesendet. Natürlich ist dies kein wirklicher Schutz vor Rootkits etc, manche tollen Prozesse zum Portscan ("r0nin" und co.) wurden dadurch aber bereits frühzeitig entdeckt und konnten gleich eliminiert werden ... eine regelmäßige Analyse der Systeme von Hand ist dennoch zu empfehlen. Besonderes Augenmerk sollte dabei auch die Temp-Verzeichnisse (/tmp, /var/tmp etc.) gerichtet sein. Da tummelt sich gern allerhand Komisches, zumal dort i.d.R. ja jeder Schreib- und Ausführungsrechte hat. Auf Systemen mit grsecurity und ACL's haben derartige Geschichten natürlich fast keine Chance, aber das hat ja nicht jeder Server ...

Das Perl-Script findet der interessierte User hier im Sourcecode! Das Script ist nur unter Linux getestet und wird wohl auch auf keinem anderen OS ohne Anpassungen laufen. Anregungen sind natürlich willkommen!