Prozesse anzeigen

[Gerhard Gaußling]

Am Donnerstag, 6. Dezember 2007 schrieb Uwe Walter:
> Hi,
>
> Am Donnerstag, den 06.12.2007, 17:56 +0100 schrieb green:
> > Ich will mich vor Häckerangriffen schützen, und da wäre es
> > natürlich toll, wenn es ein tool gibt, das einem ALLE Prozesse
> > anzeigt...
>
> Vergiss es. :D
>
> Rootkits, und ein solches wird ein Angreifer in der Regel
> installieren, können so ziemlich alles verbergen, was da am system
> passiert.
>
> Keine Prozesse !!!
> Keine Systemlast !!!
> Keine HD Kapazitätsberänderung !!!
> GAR NICHTS.
Nun ja, snort, logwatch, portsentry und logcheck sind ja nicht komplett 
wirkungs- und nutzlos. Tiger, rkhunter, chkrootkit,  zeppoo-0.0.4,  und 
unhide/untcp tun auch so ihre Dienste, ebenso wie  listps-0.9.0.
http://www.debian.org/doc/manuals/securing-debian-howto/
http://www.rootkitshield.com/forums/showthread.php?p=17
http://www.ossec.net http://www.ossim.ne
> Wenn der einmal drinnen ist, dann hast Du meist keine Chance mehr.
> Die einzige Möglichkeit etwas mitzubekommen ist ein Dateisystem
> Integritätschecker wie beispielsweise tripwire.
AIDE, ACID und samhain ist da auch einen Block Wert.
> Aber auch ein solches Tool will richtig eingesetzt sein, denn der
> Angreifer kann auch das recht easy außer Gefecht setzen. Dann weißt
> Du zwar sofort, das da was nicht stimmt, aber Du kannst erst mal
> nicht nachvollziehen, was er getriebn gat.
Um's Neuaufsetzen kommt man dann in der Regel nicht vorbei. 
Stichwort: Backupstrategie.

ciao
Gerhard