Integrità dei file e persistenza
I file di sistema che InfraFence controlla con impronte SHA-256 (account, sudoers, chiavi SSH, cron, unit systemd, ld.so.preload) e come vengono segnalate le modifiche.
Ultimo aggiornamento:
Chi riesce a entrare cerca di restare: una nuova chiave SSH, un job cron, una unit systemd, una libreria precaricata. L'agente tiene un'impronta SHA-256 dei file che usano e segnala ogni modifica.
File controllati
| File | Gravità di una modifica |
|---|---|
/etc/sudoers, /etc/sudoers.d/* |
critico |
/root/.ssh/authorized_keys, /home/*/.ssh/authorized_keys |
critico |
/etc/ld.so.preload |
critico |
/etc/shadow, /etc/ssh/sshd_config |
attenzione |
/etc/crontab, /etc/cron.d/*, /var/spool/cron/crontabs/*, /var/spool/cron/* |
attenzione |
/etc/systemd/system/*.service, /etc/systemd/system/*.timer |
attenzione |
/etc/passwd, /etc/group, /etc/hosts, /etc/resolv.conf |
info |
Come funziona
- All'avvio l'agente registra l'impronta e la dimensione di ogni file, poi le confronta ogni 30 minuti.
- Una modifica viene segnalata come evento
integrity_changecon il file, il vecchio e il nuovo SHA-256 e la vecchia e la nuova dimensione. Lo stesso file non viene segnalato di nuovo per 6 ore. - I file più grandi di 10 MB vengono saltati.
- Le impronte vengono riprese a ogni avvio dell'agente, quindi una modifica fatta mentre l'agente era fermo non viene segnalata.
- Un file nuovo in una directory controllata, come un nuovo file in
/etc/cron.d, viene aggiunto all'elenco dei file controllati e segnalato dalla sua modifica successiva.
La schermata Rilevamenti dei plugin per i pannelli di hosting mostra queste modifiche accanto ai rilevamenti malware.
Cosa dice l'analisi immediata
L'analisi immediata di una modifica legge il file e come è cambiato, non solo l'evento:
| File | Modifica | Livello |
|---|---|---|
authorized_keys di qualsiasi account |
più grande, o contenuto in un file che era vuoto: probabilmente è stata aggiunta una chiave | Alto |
authorized_keys |
stessa dimensione, contenuto diverso: una chiave potrebbe essere stata sostituita | Alto |
authorized_keys |
più piccolo o vuoto: sono state tolte delle chiavi | Basso |
/etc/sudoers, /etc/sudoers.d/* |
modificato / più piccolo | Alto / Medio |
/etc/ld.so.preload |
contenuto aggiunto / svuotato | Alto / Medio |
/etc/passwd, /etc/group |
più grande / più piccolo / stessa dimensione | Medio / Basso / Medio |
/etc/shadow |
qualsiasi modifica | Medio |
/etc/ssh/sshd_config |
qualsiasi modifica | Medio |
| file di cron, unità systemd | aggiunti o modificati / più piccoli | Medio / Basso |
programmi di sistema in /usr/bin, /usr/sbin, /bin, /sbin |
qualsiasi modifica | Alto |
/etc/hosts, /etc/resolv.conf |
qualsiasi modifica | Basso |
Un file svuotato si riconosce dalla dimensione o dallo SHA-256 di un file vuoto (e3b0c442…). L'analisi mostra dimensione e impronta prima e dopo, e i comandi per controllare il file: per le chiavi SSH, elencarle, confrontarne le impronte con ssh-keygen -lf e vedere chi era collegato.
L'agent confronta i file ogni 30 minuti, quindi l'analisi cerca le sessioni SSH sullo stesso server da 40 minuti prima dell'evento a 10 minuti dopo. Poi dice, per esempio, "È cambiato durante la sessione SSH di root da 203.0.113.9 (Italia)", oppure che attorno alla modifica non è stata registrata nessuna sessione SSH.
Segna come previsto
Quando la modifica l'avete fatta tu o un collega, apri l'incidente e scegli Segna come previsto, con una nota facoltativa. Possono farlo owner e admin; i membri vedono chi l'ha segnato, quando e la nota. La modifica non conta più come aperta o critica, l'evento resta nella cronologia, Riapri annulla, ed entrambe le azioni finiscono nel registro attività. Una modifica successiva dello stesso file torna aperta. Con l'agente 1.0.34 o successivo, anche il plugin WHM e infrafence-agent panel mostrano la modifica come risolta. Vedi Eventi e attività per come si risolvono i problemi.
All'agent non serve nulla: subito dopo aver segnalato una modifica prende il nuovo contenuto come riferimento, quindi la stessa modifica non viene segnalata di nuovo.
Monitoraggio, non blocco
L'integrità dei file si limita a segnalare: non ripristina mai un file. Insieme al rischio delle sessioni SSH, una modifica fatta durante una sessione SSH aperta alza il punteggio di rischio di quella sessione.