SEGURIDAD EN UNIX Y REDES

100CAPÍTULO 6. AUDITORÍA DEL SISTEMAluisa:~# tail -8 /var/adm/debugDec 17 18:51:50 luisa kernel: ISO9660 Extensions: RRIP_1991ADec 18 08:15:32 luisa sshd[3951]: debug: sshd version 1.2.21[i486-unknown-linux]Dec 18 08:15:32 luisa sshd[3951]: debug: Initializing random numbergenerator; seed file /etc/ssh_random_seedDec 18 08:15:32 luisa sshd[3951]: debug: inetd sockets after dupping: 7, 8Dec 18 08:15:34 luisa sshd[3951]: debug: Client protocol version 1.5; clientsoftware version 1.2.21Dec 18 08:15:34 luisa sshd[3951]: debug: Calling cleanup 0x800cf90(0x0)Dec 18 16:33:59 luisa kernel: VFS: Disk change detected on device 02:00Dec 18 23:41:12 luisa identd[2268]: Successful lookup: 1593 , 22 : toni.usersluisa:~#6.5 Logs remotosEl demonio syslog permite fácilmente guardar registros en máquinas remotas; de esta forma sepretende que, aunque la seguridad de un sistema se vea comprometida y sus logs sean modificadosse puedan seguir registrando las actividades sospechosas en una máquina a priori segura. Esto seconsigue definiendo un ‘LOGHOST’ en lugar de un archivo normal en el fichero /etc/syslogd.confde la máquina de la que nos interesa guardar información; por ejemplo, si queremos registrar todala información de prioridad info y notice en la máquina remota rosita, lo indicaremos de lasiguiente forma:*.=info;*.=notice@rositaTras modificar /etc/syslogd.conf hacemos que el demonio relea su fichero de configuración enviándolela señal sighup (por ejemplo, con kill).Por su parte, en el host donde deseemos almacenar los logs, tenemos que tener definido el puertosyslog en /etc/services y ejecutar syslogd con el parámetro ‘-r’ para que acepte conexionesa través de la red:rosita:~# grep syslog /etc/servicessyslog514/udprosita:~# ps xua|grep syslogdroot 41 0.0 0.4 852 304 ? S Mar21 0:01 /usr/sbin/syslogdrosita:~# kill -TERM 41rosita:~# syslogd -rrosita:~#A partir de ese momento todos los mensajes generados en la máquina origen se enviarán a ladestino y se registrarán según las reglas de esta, en un fichero (lo habitual), en un dispositivo. . . oincluso se reenviarán a otra máquina (en este caso hemos de tener cuidado con los bucles); sisuponemos que estas reglas, en nuestro caso, registran los mensajes de la prioridad especificadaantes en /var/adm/messages, en este archivo aparecerán entradas de la máquina que ha enviadola información:rosita:~# tail -3 /var/adm/messagesMar 23 07:43:37 luisa syslogd 1.3-3: restart.Mar 23 07:43:46 luisa in.telnetd[7509]: connect from amparoMar 23 07:57:44 luisa -- MARK --rosita:~#Esto, que en muchas situaciones es muy recomendable, si no se realiza correctamente puede inclusocomprometer la seguridad de la máquina que guarda registros en otro equipo: por defecto, el