The immutable flag can only be set

The immutable flag can only be set and unset by root. Remember that the flag
can be removed as easily as it was added. Meaning should an attacker have
access to a machine, he would be able to find the set flag then unset it. After the
immutable flag is unset, then he would be able to install a rootkit. With this said,
do not rely on the immutable flag as the only defense against rootkits.
It is important to remember that following basic security guidelines is always
good practice. After security measures are in place, administrators should begin
to implement detection and monitoring practices on their systems.
Rootkit Detection and Monitoring
How can an administrator monitor for something that has been designed to hide
its existence?
Basically there are applications that have been written to assist administrators to
monitor system activities. Such applications also assist administrators in
detecting rootkits.
Tripwire and AIDE
Both Tripwire and AIDE are utilities used to monitor the integrity of files. They
both create a secure password protected database of file and directory attributes
that is used to compare against the current files and directories for changes.
They use MD5 to check the integrity of the file. MD5 sums are a hash function
that transforms a string of data of any length into a shorter fixed-length value. It
is believed that no two strings of data will have the same MD5 value.
Output of an md5sum against netstat and ls on a Linux RedHat 7.1 system
dc1961b6ce3ff6d6fe2c89c8603f4985 ls
30286974e55bb9f9e82f93cc44c39492 netstat
Notice the MD5 value is not the same for these commands. If files being
monitored are modified in any way, Tripwire and AIDE will notify administrators of
the change.
Both applications have been widely accepted in the security industry. I
recommend learning more about it and using it throughout your enterprise.
Tripwire is available in both commercial and GNU licensing. AIDE is also
available in GNU licensing.
http://www.tripwire.com commercial license
http://www.tripwire.org gnu license
http://www.cs.tut.fi/~rammer/aide.html

Kết quả (Việt) 2:

Lá cờ bất biến chỉ có thể được thiết lập và unset bởi root. Hãy nhớ rằng lá cờ
có thể được loại bỏ dễ dàng như nó đã được bổ sung. Có nghĩa là cần một kẻ tấn công có
quyền truy cập vào một máy tính, ông sẽ có thể tìm thấy các thiết lập cờ sau đó bỏ đặt nó. Sau khi
lá cờ bất biến là đặt, sau đó ông sẽ có thể cài đặt một rootkit. Với điều này cho biết,
không dựa trên lá cờ bất biến như bảo vệ duy nhất chống rootkit.
Điều quan trọng là phải nhớ rằng sau nguyên tắc bảo mật cơ bản luôn là
thực hành tốt. Sau khi các biện pháp an ninh được đưa ra, các quản trị viên nên bắt đầu
thực hiện việc phát hiện và giám sát thực hành trên hệ thống của họ.
Rootkit Detection và giám sát
như thế nào một quản trị viên có thể theo dõi cho một cái gì đó đã được thiết kế để che giấu
sự tồn tại của nó?
Về cơ bản có những ứng dụng đã được viết để hỗ trợ các quản trị viên để
theo dõi hoạt động của hệ thống. Ứng dụng này cũng hỗ trợ quản trị trong
việc phát hiện rootkit.
Tripwire và AIDE
Cả Tripwire và AIDE được các tiện ích được sử dụng để giám sát tính toàn vẹn của tập tin. Họ
cả hai tạo ra một mật khẩu bảo vệ cơ sở dữ liệu an toàn của tập tin và thư mục thuộc tính
được sử dụng để so sánh các tập tin và thư mục hiện hành đối với những thay đổi.
Họ sử dụng MD5 để kiểm tra tính toàn vẹn của tập tin. MD5 khoản tiền là một hàm băm
mà biến đổi một chuỗi các dữ liệu của bất kỳ chiều dài thành một giá trị cố định chiều dài ngắn hơn. Nó
được tin rằng không có hai chuỗi các dữ liệu sẽ có giá trị MD5.
Đầu ra của một md5sum chống netstat và ls trên Linux RedHat 7.1 hệ thống
dc1961b6ce3ff6d6fe2c89c8603f4985 ls
30286974e55bb9f9e82f93cc44c39492 netstat
Thông báo giá trị MD5 là không giống nhau cho các lệnh này. Nếu tập tin bị
giám sát được sửa đổi trong bất kỳ cách nào, Tripwire và AIDE sẽ thông báo cho người quản trị của
sự thay đổi.
Cả hai ứng dụng đã được chấp nhận rộng rãi trong ngành công nghiệp an ninh. Tôi
khuyên bạn nên học thêm về nó và sử dụng nó trong suốt doanh nghiệp của bạn.
Tripwire là có sẵn trong cả hai cấp phép thương mại và GNU. AIDE cũng là
có sẵn trong giấy phép GNU.
Http://www.tripwire.com giấy phép thương mại
http://www.tripwire.org giấy phép GNU
http://www.cs.tut.fi/~rammer/aide.html