Administración avanzada de GNU/Linux (PDF) - SW Computación

ª FUOC • XP04/90785/00019
Software libre
do plano desde hace mucho tiempo (comandos w, jobs). En todo
caso, podrían utilizarse medidas preventivas que impidieran trabajos
no interactivos a los usuarios, o que solamente los permitiesen
a aquellos que lo necesitasen.
Nota
La herramienta chrootkit
puede encontrarse en:
http://www.chrootkit.org
• Keyloggers y rootKits: en este caso habrá algún proceso intermediario
que intentará capturar nuestras pulsaciones de teclas y las
almacenará en algún lugar. Habrá que examinar situaciones
donde aparezca algún proceso extraño perteneciente a nuestro
usuario, o bien detectar si tenemos algún fichero abierto con el
que no estemos trabajando directamente (por ejemplo, podría ser
de ayuda lsof, ver man), o bien conexiones de red, si se tratase de
keylogger con envío externo. Para probar un funcionamiento muy
básico de un keylogger muy sencillo, puede verse el comando de
sistema script (ver man script). El otro caso, el rootkit (que suele
incluir también algún keylogger) suele ser un pack de unos cuantos
programas con varias técnicas, y permite al atacante, una vez
entra en una cuenta, utilizar diversos elementos como un keylogger,
backdoors, troyanos (sustituyendo a comandos del sistema), etc., con
tal de obtener información y puertas de entrada al sistema, muchas
veces se acompaña de programas que realizan limpieza de los
logs, para eliminar las pruebas de la intrusión. Un caso particularmente
peligroso lo forman los rootkits, que se usan o vienen en
forma de módulos de kernel, lo que les permite actual a nivel de
kernel. Para su detección, sería necesario controlar que no haya
tráfico externo que salga hasta una cierta dirección. Una herramienta
útil para verificar los rootkits es chrootkit.
ANOTACIONES
• Escáner (escaneo de puertos): los escáneres suelen lanzar sobre
uno o más sistemas bucles de escaneo de puertos conocidos para
detectar los que quedan abiertos y aquellos servicios que están
funcionando y que podrían ser susceptibles de ataques.
• Sniffers (husmeadores): evitar intercepciones e impedir así la posibilidad
de que se introduzcan escuchas. Una técnica es la construcción
hardware de la red, que puede dividirse en segmentos
para que el tráfico sólo circule por la zona que se va a utilizar, poner
firewalls para unir estos segmentos y poder controlar el tráfico
de entrada y salida. Usar técnicas de encriptación para que los
mensajes no puedan ser leídos e interpretados por alguien que
352