一个Linux下的入侵响应案例.pdf

【文章概述】 本文详细分析了一个发生在Linux环境下的入侵响应案例，涉及的是针对某校校园网内一台运行Redhat 7.3操作系统的视频服务器的TCP 443端口扫描事件。管理员接到国外用户投诉后，初步检测发现服务器存在异常但无法通过常规手段识别问题。在进一步的调查中，发现系统可能被植入了rootkit级别的后门。 【入侵检测】 1. **网络流量镜像**：通过对服务器网络流量进行镜像，确认了443端口的异常扫描活动。 2. **命令比对**：通过对比系统中`ps`命令的MD5值，发现该命令已被修改，表明系统可能被植入了rootkit。 3. **登录记录检查**：分析`/var/log/secure`日志，发现一个来自罗马尼亚IP的`news`账号登录记录，推断攻击发生时间并锁定可疑时段。 【脱机分析与文件检查】 1. **离线分析**：将服务器硬盘挂载到另一台主机进行分析，以避免被篡改的系统命令影响结果。 2. **查找登录记录**：通过`more`和`grep`命令查看系统登录日志，找到疑似入侵者的登录行为。 3. **文件修改时间追踪**：使用`find`命令查找在特定时间范围内被修改的文件，发现入侵者在`/var/opt`下创建了一个特殊命名的目录。 4. **账号权限篡改**：发现`/etc/shadow`文件中`news`账号的权限变化，说明入侵者设定了密码并允许远程登录。 【后门程序分析】 1. **日志清除程序**：发现名为`z`的程序，用于清除与特定IP相关的日志信息。 2. **IRC后门**：在`cata`目录下找到了一个IRC后门，服务器会连接到四个IRC聊天室服务器，允许入侵者通过聊天室发送控制指令。 【入侵应对措施】 1. **修复系统**：清除rootkit，恢复被修改的系统命令和配置。 2. **增强安全**：更新操作系统和软件，关闭不必要的服务和端口，强化防火墙规则。 3. **日志审计**：加强日志监控，定期检查系统日志，及时发现异常行为。 4. **漏洞扫描**：定期进行系统漏洞扫描，及时修补安全漏洞。 5. **用户账号管理**：定期审查用户账号权限，避免内置账号被滥用。 6. **网络监控**：提高网络监控能力，对异常流量进行快速响应。 通过这个案例，我们可以认识到在Linux环境中，即使在未发现明显异常的情况下，也可能存在高级攻击。因此，建立有效的入侵响应机制，包括监控、检测、分析和修复，对于保护系统安全至关重要。同时，对日志的详尽分析和对可疑行为的深入探究，可以帮助我们揭示潜在的威胁，防止进一步的损失。