Premissas

Iremos adotar como premissas, os seguintes pontos:

• Você já possui um servidor Nagios de monitoramento no seu ambiente.
• O cliente NRPE do Nagios já está instalado e configurado no servidor que será auditado/monitorado.
• O servidor auditado é um GNU/Linux.

Instalando o rkhunter (scan de rootkits)

Partiremos do ponto que é necessário ter um rootkit scanner instalado. Esse, por sua vez, se encarregará de identificar as potenciais ameaças.

Vale ressaltar que, em hipótese alguma, um rootkit scanner garante a segurança do seu sistema, isso deriva de uma série de outros fatores complexos dos quais carecem de análise e configuração. O foco nesse artigo é automatizar o processo de auditoria, OK?

Pois bem, usaremos o "rkhunter V 1.4.0" como rootkit scanner. Sua instalação é bem simples e consiste nos seguintes passos:

Download:

• http://sourceforge.net/projects/rkhunter/

Descompactação:

# tar -xvf rkhunter-1.4.0.tar.gz

Instalação:

# ./installer.sh --layout /usr/local --install

No meu caso, instalei no "/usr/local", caso deseje escolher outro diretório, fica a seu critério, mas lembre-se de adotar o caminho escolhido nos próximos passos.

Após instalado, execute-o a caráter de teste:

# rkhunter --check-all

Adicionando e configurando o plugin check_rootkit no Nagios

Esse plugin se responsabiliza por enviar o resultado do scan para o Nagios Server, e deve ser colocado no host que será monitorado.

Vamos lá. Download do plugin:

• http://exchange.nagios.org/directory/Plugins/Operating-Systems/Linux/check_rootkit/details

Descompactação:

# gzip -cd check_rootkit.gz | gzip -d - > check_rootkit

Ele deve ser colocado no diretório em que se encontram os plugins do Nagios:

# cp check_rootkit /usr/local/nagios/libexec/

Feito isso, devemos alterar suas permissões:

# chown nagios.nagios check_rootkit
# chmod +x check_rootkit

Agora, precisamos realizar uma pequena alteração no script "check_rootkit" para que funcione corretamente. Na linha 61, iremos alterar de:

Securitydata=`sudo rkhunter --quiet --allow-ssh-root-user --checkall 2>&1`

Para:



Essa alteração decorre por essa versão do rkhunter não suportar o parâmetro "--allow-ssh-root-user".