Angriffe auf Linux-Systeme hinterlassen fast immer verräterische Spuren. Doch die manuelle Analyse von Logfiles ist sehr aufwändig und wird daher meist vernachlässigt. Doch es gibt nützliche Tools, die den Administrator bei der Spurensuche unterstützen.

Grundsätzlich hinterlassen alle Daemon, Module, User und Anwendungen Spuren ihrer Aktivitäten im Linux System. Sie speichert Protokolle ihrer Aktivität in Logfiles, die bei den meisten Distributionen unter /var/log/ zu finden sind. Die Logfiles sind nur mit privilegierten Rechten (root) veränderbar, auch das Löschen ist nicht anders möglich. Daher stehen die Chancen gut, in den Logfiles Details zu Angriffen zu finden.

Bordmittel für sicheres Surfen, Verwalten von Passwörtern und geschütztes Datei-Handling sind in Linux bereits rudimentär vorhanden.

Auch für Linux Systeme gibt es rootkits, die ein System infiltrieren und unsichtbar fernsteuern. Zum enttarnen von rootkits gibt es spezielle Software, die bei der Analyse hilft. Aber schon das Sichten der Logfiles eines Systems kann Aufschluss darüber geben, ob jemand unbefugt im System gearbeitet hat. Ein deutliches Indiz dafür, dass ein Angreifer ein System übernommen oder kurzfristig kompromittiert hat, sind leere Logfiles oder zeitlich Lücken in den Logs. Angreifer, die professionell vorgehen, verwischen meistens ihre Spuren nach dem erfolgreichen Einbruch in einem System, indem sie die Logdateien löschen.

Den kompletten Artikel von Marco Rogge findet ihr unter Linux-Sicherheit – Angriffe entdecken von computerwoche.de.

Freundliche Grüße
das OSS-Haus Team