AW: [gentoo-user-de] Was ist das...?

[Daniel Rindt]

> Hallo.
>
> Daniel Rindt schrieb am 21.09.2004 um 14:31 Uhr:
>
> > Über den Bind müssen die eine Lücke nutzen anscheinend.
> Denn Rootkits
> > sind nicht drauf schon geprüft.
>
> Du kannst mit einem Rootkit-Scanner nur feststellen, ob ein
> Rootkit auf Deinem Rechner ist. Nicht aber, ob _kein_ Rootkit
> drauf ist.
>
> Ein ls so zu manipulieren, dass es bestimmte Dateien nicht
> mehr anzeigt, ist ein Einzeiler in den Sourcen - das gleiche
> gilt fuer jede andere Manipulation an Programmen.
>
> Einzige Loesung ist, von einem unverseuchten System zu
> booten. Alles andere kann theoretisch falsche Daten anzeigen.
> Dabei kommt es immer darauf an, wo genau das Rootkit ansetzt
> - wenn es z. B. auf Kernel-Ebene arbeitet, dann kannst Du
> solange suchen und testen wie Du willst. Der Kernel wird Dir
> immer das anzeigen was Du sehen sollst ...
>
> Auf einem dedizierten Server hast Du also u. U. ein Problem,
> da Du theoretisch nicht mal neuinstallieren kannst, sondern
> einen kompletten Reset benoetigst.
>
> Das sind zwar alles theoretische Gefahren und die wenigsten
> werden sich die Arbeit machen ein Rootkit extra fuer Deinen
> Rechner zu schreiben ... aber man weiss nie und deshalb nimm es ernst.
>
Nun mal ernsthaft ich bin sehr gewissenhaft was das installieren von
Sicherheitspatches angeht und ich betreibe das Ganze nicht erst seit 2
Wochen. Also der Kernel ist original gs-sources.

Ich würde heute nacht das Gerät herunterfahren und chkrootkit auf der kiste
durchführen denn ich denke mal das Rescue System wird keinen "modifizierten"
Kernel haben. Danach kann ich denke ich besser eine Aussage treffen, was
Stand ist.

Des weiteren Confixx ist auch auf dem Aktuellen Stand und zum Thema Backup
Script gibt es noch kein Patch! Das mal am Rande.

Kurrios da zu ist, das ich den Named heruntergefahren habe und plötzlich ist
ruhe damit das ein john process die leistung raubt... 

Mit freundlichen Grüßen
Daniel


--
gentoo-user-de@g.o mailing list