Administración avanzada de GNU/Linux (PDF) - SW Computación

ª FUOC • XP04/90785/00019
Software libre
Comentamos en los siguientes puntos algunos ficheros de log que
habría que tener en cuenta (quizás los más utilizados):
a) /var/log/messages: es el fichero de log por defecto del demonio
Syslogd, pero habría que revisar su configuración, no sea que
esté cambiado a otro sitio, o haya varios. Este fichero contiene
una amplia variedad de mensajes de orígenes diversos (diferentes
demonios, servicios o el mismo kernel); todo lo que se observase
anómalo tendría que ser verificado. En caso de que haya habido
una intrusión, mirar alrededor de la fecha de la intrusión.
b) /var/log/utmp: este fichero contiene información binaria para
cada usuario que está actualmente activo. Es interesante para determinar
quién está dentro del sistema. El comando who utiliza
este fichero para proporcionar esta información.
c) /var/log/wtmp: cada vez que un usuario entra en el sistema, sale,
o la máquina reinicia, se guarda una entrada en este fichero. Es
un fichero binario de donde el comando last obtiene información,
en que se menciona qué usuarios entraron o salieron, cuándo y
dónde se originó la conexión. Puede ser útil para buscar dónde
(en qué cuentas) se originó la intrusión o detectar usos de cuentas
sospechosas. También existe una variación del comando llamada
lastb, que lista los intentos de login que no pudieron validarse correctamente
y se usa el fichero /var/log/btmp (puede ser necesario
crearlo si no existe). Estos mismos fallos de autentificación
también suelen enviarse al log auth.log. De modo parecido, el comando
lastlog utiliza otro fichero /var/loglastlog para verificar
cuál fue la última conexión de cada uno de los usuarios.
ANOTACIONES
d) /var/log/secure: suelen utilizarse en Red Hat para enviar los mensajes
de los tcp wrappers (o los firewalls). Cada vez que se establece
una conexión a un servicio de inetd, o bien en el caso de
Red Hat 9, para xinetd (con su propia seguridad) se añade un
mensaje de log a este fichero. Pueden buscarse intentos de intrusos
de servicios que no suelen usarse, o bien máquinas no familiares
que se intentan conectar.
En el sistema de logs, otra cosa que habría que asegurar es que el
directorio de logs /var/log, sea sólo escribible por el root. De otro
modo, cualquier atacante podría falsificar la información de los logs.
Por ejemplo, si el atacante consigue acceso a root , puede, y suele,
borrar las pista de sus accesos.
380