Scanner in Aktion

Die beiden Rootkit-Scanner Chkrootkit und Rkhunter benötigen für ihre Arbeit zwingend administrative Rechte, ein normaler Benutzer darf sie nicht starten. Chkrootkit aktivieren Sie durch den Aufruf chkrootkit. Die Manpage des Programms verweist auf erfreulich wenige Startparameter, die Software arbeitet beim Start zügig ihre Tabelle bekannter Rootkits, Befehle und Dämonen ab (Abbildung 1).

Abbildung 1: Schnell und effizient durchsucht Chkrootkit das System nach blinden Passagieren.

Im Falle von Alarmmeldungen ziehen Sie am besten zunächst die Datei README.FALSE-POSITIVES im Verzeichnis /usr/share/doc/chkrootkit zu Rat: Aufgrund der komplexen Wirkungsweise von Rootkits kann es nämlich vorkommen, dass der Scanner versehentlich Fehlalarm auslöst. Das passiert besonders gern bei versteckten Dateien, falls sich Überschneidungen in der Nomenklatur mit harmlosen Programmdateien ergeben.

Im Zweifelsfall sollten Sie eine Gegenprobe mit Rkhunter machen. Den einfachsten und zugleich umfassendsten Prüflauf erzielen Sie mit dem Befehl rkhunter -c: Dabei überprüft der Scanner das gesamte System interaktiv, wobei Sie regelmäßig durch Drücken der Eingabetaste die Prüfung fortsetzen müssen (Abbildung 2). Auch hier kann es zu Fehlalarmen kommen. Warnungen prüfen Sie schnell und effizient, indem Sie die Protokolldatei rkhunter.log im Verzeichnis /var/log (Abbildung 3) näher in Augenschein nehmen.

Abbildung 2: Hier besteht laut Rkhunter Erklärungsbedarf.
Abbildung 3: Über die Protokolldatei rkhunter.log lassen sich Warnungen schnell prüfen.

Nach Abschluss der Tests mit Chkrootkit und Rkhunter empfiehlt sich im Bedarfsfall noch der Einsatz von Unhide, um Sicherheit über versteckte Prozesse und verschleierte Netzwerkverbindungen in Gestalt offener Ports zu erhalten. Dazu rufen Sie Unhide im Terminal mit einer der Optionen proc, sys oder brute auf. Findet Unhide dabei Unstimmigkeiten, so empfiehlt sich zunächst ein Blick in das Unterverzeichnis /usr/share/doc/unhide, wo verschiedene Dateien auf problematische Fehlalarme hinweisen. Ansonsten verrichtet Unhide seine Arbeit völlig unspektakulär.

Vollautomatik

Um die auf Dauer lästigen manuellen Tests nicht ständig händisch aufrufen zu müssen, haben die Programmierer der beiden Rootkit-Scanner bereits kleine Shellskripte geschrieben, die Sie als täglich auszuführende Cron-Jobs einbinden können. Dabei kommt Rkhunter in einem nicht interaktiven Modus zum Einsatz, der die Ausgabe auf Warnungen beschränkt, um die Meldungen übersichtlich zu halten. Die entsprechenden Mitteilungen finden sich nach einem Durchlauf in der Datei /var/log/rkhunter.log, Sie können sie sich aber auch per E-Mail zustellen lassen.

Bei Chkrootkit blockiert ein Fehler in der Konfigurationsdatei den automatischer Prüflauf, der erst nach einer kleinen Modifikation gelingt: In der Datei /etc/chkrootkit.conf ändern Sie die erste Zeile RUN_DAILY="false" in RUN_DAILY="true". Nach dieser Anpassung verrichtet auch Chkrootkit seine Arbeit still im Hintergrund, ohne die Systemperformance merklich zu beeinträchtigen.

LinuxCommunity kaufen

Einzelne Ausgabe
 
Abonnements
 

Ähnliche Artikel

Kommentare

Infos zur Publikation

LU 09/2015: Paketverwaltung

Digitale Ausgabe: Preis € 4,95
(inkl. 19% MwSt.)

Mit der Zeitschrift LinuxUser sind Sie als Power-User, Shell-Guru oder Administrator im kleinen Unternehmen monatlich auf dem aktuelle Stand in Sachen Linux und Open Source.

Sie sind sich nicht sicher, ob die Themen Ihnen liegen? Im Probeabo erhalten Sie drei Ausgaben zum reduzierten Preis. Einzelhefte, Abonnements sowie digitale Ausgaben erwerben Sie ganz einfach in unserem Online-Shop.

NEU: DIGITALE AUSGABEN FÜR TABLET & SMARTPHONE

HINWEIS ZU PAYPAL: Die Zahlung ist auch ohne eigenes Paypal-Konto ganz einfach per Kreditkarte oder Lastschrift möglich!       

Tipp der Woche

Grammatikprüfung in LibreOffice nachrüsten
Grammatikprüfung in LibreOffice nachrüsten
Tim Schürmann, 24.04.2015 19:36, 2 Kommentare

LibreOffice kommt zwar mit einer deutschen Rechtschreibprüfung und einem guten Thesaurus, eine Grammatikprüfung fehlt jedoch. In ältere 32-Bit-Versionen ...

Aktuelle Fragen

Scanner EPSON Perfection V 300 photo und VueScan
Roland Welcker, 19.08.2015 09:04, 1 Antworten
Verehrte Linux-Freunde, ich habe VueScan in /usr/local/src/vuex_3295/VueScan installiert, dazu d...
Empfehlung gesucht Welche Dist als Wirt für VM ?
Roland Fischer, 31.07.2015 20:53, 2 Antworten
Wer kann mir Empfehlungen geben welche Distribution gut geeignet ist als Wirt für eine VM für Win...
Plugins bei OPERA - Linux Mint 17.1
Christoph-J. Walter, 23.07.2015 08:32, 3 Antworten
Beim Versuch Video-Sequenzen an zu schauen kommt die Meldung -Plug-ins und Shockwave abgestürzt-....
Wird Windows 10 update/upgrade mein Grub zerstören ?
daniel s, 22.07.2015 08:31, 8 Antworten
oder rührt Windows den Bootloader nicht an? das ist auch alles was Google mir nicht beantw...
Z FUER Y UND ANDERE EINGABEFEHLER AUF DER TASTATUR
heide marie voigt, 10.07.2015 13:53, 2 Antworten
BISHER konnte ich fehlerfrei schreiben ... nun ist einiges drucheinander geraten ... ich war bei...