Segurança no Linux: procurando RootKit e configurando o firewall

Regularmente, procuro a existência de rootkits no meu Linux. Para isso utilizo o chkrootkit. No entanto, ontem, encontrei um artigo no blog do Corvolino fazendo referência a um outro programa, chamado rkhunter, que o Hugo Dória, usuário experiente em segurança e Linux, defendeu como sendo melhor que o chkrootkit.

Porque procurar rootkit em seu Linux? Porque rootkits são indicativos de que seu Linux foi invadido, estando com a segurança comprometida e seus arquivos e informações estão correndo perigo.

Veja a definição de rootkit pelo Hugo Dória em um artigo no Viva o Linux:
“Rootkits são ferramentas utilizadas, geralmente, com o objetivo de ocultar a presença de invasores nas máquinas. Com essas ferramentas alguém não-autorizado, mas que já conseguiu entrar na máquina, pode ter controle sobre a máquina e nem ser notado.

Muitos rootkits acompanham uma gama de binários (como o ls, ps, who, find etc) modificados para que os processos rodados pelo invasor não possam ser vistos pelo administrador da máquina. Além disso, muitos vírus atuais utilizam rootkits.”

Assim, seguindo o tutorial do Hugo Doria, instalei e executei o rkhunter.

Os passos são:

Instalar ele através do programa de instalação de sua distribuição, via synaptic no caso do meu Ubuntu, caso não esteja instalado ainda.

Atualizar a base de propriedades dos arquivos

rkhunter --propupd

Atualizar a base do rkhunter

rkhunter --update

Executar o rkhunter, como root

rkhunter -c
ou
rkhunter --check

O rkhunter vai listar suas ações no terminal e algumas vezes vai pedir para teclar ENTER.

Agora basta prestar atenção as mensagens de WARNING na cor vermelha, analisando a ocorrência. O log final ficará no arquivo /var/log/rkhunter.log.

Abra este arquivo como root com seu editor de textos favorito. Aqui foi:
sudo gvim /var/log/rkhunter.log

Se houver algum comprometimento da máquina, pesquise na internet para procurar algum método de limpeza ou então reinstale o seu Linux.

No meu caso, tive alguns WARNING. Pesquisando descobri que eram apenas falso-positivos que podem ocorrer. Normalmente eles aparecem no final da checagem e do log.
Veja o exemplo abaixo:
[23:24:29] Warning: Suspicious file types found in /dev:
[23:24:29] /dev/shm/pulse-shm-1746895747: data
[23:24:30] Checking for hidden files and directories [ Warning ]
[23:24:30] Warning: Hidden directory found: /etc/.java
[23:24:30] Warning: Hidden directory found: /dev/.static
[23:24:30] Warning: Hidden directory found: /dev/.udev
[23:24:30] Warning: Hidden directory found: /dev/.initramfs

Estes falso-positivos são conhecidos, estando inclusive já mencionados no arquivo de configuração do rkhunter que está em /etc/rkhunter.conf. Mas estas referências vem por padrão comentadas. Para acabar com os falso-positivos, como root, abra este arquivo com o seu editor de texto favorito e descomente as linhas que fazem referência a eles.

Para as referências Hidden directory found, procure a seção abaixo:

# Allow the specified hidden directories.
# One directory per line (use multiple ALLOWHIDDENDIR lines).
#
ALLOWHIDDENDIR=/etc/.java
ALLOWHIDDENDIR=/dev/.udev
#ALLOWHIDDENDIR=/dev/.udevdb
#ALLOWHIDDENDIR=/dev/.udev.tdb
ALLOWHIDDENDIR=/dev/.static
ALLOWHIDDENDIR=/dev/.initramfs
#ALLOWHIDDENDIR=/dev/.SRC-unix

Para a referência ao pulse, procure a seção abaixo:

# Allow the specified files to be present in the /dev directory,
# and not regarded as suspicious. One file per line (use multiple
# ALLOWDEVFILE lines).
#
#ALLOWDEVFILE=/dev/abc
ALLOWDEVFILE=/dev/shm/pulse-shm-*

Feito isto, os falso-positivos desaparecerão. Agora, se aparecer algum WARNING, então é um rootkit.

Feito a verificação e não constatando nenhum rootkit instalado, é hora de ter certeza que o firewall está dando conta do trabalho de evitar invasões.

Para isso, a melhor ferramenta que conheço é o guarddog. Entenda melhor neste contexto como a mais fácil

Para a configuração do Guarddog, segui este tutorial, com algumas modificações:

Abra o guarddog:
sudo guarddog

Configure no assistente dele, na aba Protocol, o seguinte:

chat – habilitar os serviços que você usar – msn, irc, jabber, etc;

data serve – habilite cddb e freedb (para consultar dicionários online), ntp se seu Linux atualiza a hora do computador pela internet;

file transfer – imprescindível habilitar https e http (cuidado aqui para não deixar de habilitar se não você não tem internet) e todos os serviços de troca de arquivo que você usar como bittorrent, edonkey, fasttrack, ftp, gnutella;

games – habilite as opções se você for um jogador e escolha o game do tipo quake, etc…;

interactive session – só habilite o ipp, se você precisa usar o cups (pois é pré-requisito para poder usá-lo);

mail – habilite pop3 e smtp (para receber e enviar e-mails), apenas se usar o email do provedor. Se usar apenas webmail (gmail, hotmail, etc), não precisa;

media – marcar ambos por padrão (caso você precise usar);

miscellaneous – habilite o pgp key server para a autenticação de chaves criptográficas;

network – habilite o dns para ter acesso a internet;

user defined – deixe em branco, a não ser que você defina alguma regra particular que você irá criar;

Pronto, seu Linux está limpo e seguro.

Referências utilizadas antes, durante e depois da utilização do rkhunter e do guarddog e também para escrever este artigo:

Procure RootKit em seu LINUX !
Procurando rootkits no seu sistema
RKhunter log file
Firewall Guarddog: Configuração Básica
Firewall guarddog