SEGURIDAD EN UNIX Y REDES

A.3.DETECCIÓN 267– SU 11/17 03:12 - pts/3 toni-rootEl usuario toni ha intentado conseguir privilegios de administrador mediante la ordensu; si lo hubiera conseguido, en lugar de un signo ‘-’ aparecería un ‘+’. En Solaris,esto se registra en el fichero sulog, aunque en el fichero messages se notifica si el su hafallado.• ProcesosSi un atacante ha conseguido acceso a nuestro equipo, y dependiendo de sus intenciones, esprobable que ejecute programas en el sistema que permanecen en la tabla de procesos duranteun largo periodo de tiempo; típicos ejemplos son sniffers (programas para capturar tráficode red) o bouncers (programas para ocultar una dirección en irc). Debemos desconfiar deprocesos que presenten un tiempo de ejecución elevado, especialmente si no es lo habitual ennuestro sistema. Incluso si el nombre del proceso no es nada extraño (obviamente un piratano va a llamar a su analizador de tráfico sniffer, sino que le dará un nombre que no levantesospechas, como xzip o ltelnet) es muy conveniente que nos preocupemos de comprobarcuál es el programa que se está ejecutando.Algo que nos puede ayudar mucho en esta tarea es la herramienta de seguridad lsof, quenos indica los ficheros abiertos por cada proceso de nuestro sistema, ya que programas comolos sniffers o los crackers de claves suelen mantener archivos abiertos para almacenar lainformación generada.• Sistemas de ficherosOtro punto que puede denotar actividades sospechosas en la máquina es su sistema de ficheros:Por un lado, hemos de estar atentos al número de archivos setuidados en el sistema: es frecuenteque un pirata que ha conseguido privilegios de root guarde archivos con este bit activopara volver a conseguir esos privilegios de una forma más sencilla (por ejemplo, una copia deun shell setuidado como root dará privilegios de administrador a cualquiera que lo ejecute).Además, los intrusos suelen crear directorios ‘difíciles’ de localizar, donde poder guardar herramientasde ataque: por ejemplo, si alguien es capaz de crear el directorio /dev/.../,seguramente cuando el administrador haga un listado de /dev/ ni se dará cuenta de la existenciade un directorio con un nombre tan poco común como ‘...’.Otra actividad relacionada con el sistema de ficheros es la sustitución de ciertos programasque puedan delatar una presencia extraña, como ps, who o last, o programas críticos como/bin/login por versiones ‘troyanizadas’ que no muestren nada relacionado con el atacante;por ejemplo, alguien podría sustituir el programa /bin/login por otro que aparentemente secomporte igual, pero que al recibir un nombre de usuario concreto otorgue acceso al sistemasin necesidad de clave. Un ejemplo muy simple de este tipo de troyanos es el siguiente: alguienmueve el archivo /bin/ps a /bin/OLDps y a continuación ejecutaanita:~# cat >/bin/ps#!/bin/sh/bin/OLDps $1|grep -v ’^^Danita:~#toni’|grep -v grep|grep -v OLDA partir de ahora, cuando alguien teclee ps -ef no verá los procesos del usuario toni. Sepuede seguir un mecanismo similar 4 con programas como w, finger, last, who o ls paraconseguir ocultar a un usuario conectado, sus procesos, sus ficheros. . .Otro síntoma que denota la presencia de un problema de seguridad puede ser la modificaciónde ciertos ficheros importantes del sistema; por ejemplo, un atacante puede modificar/etc/syslog.conf para que no se registren ciertos mensajes en los archivos de log, o/etc/exports para exportar directorios de nuestro equipo. El problema de este estilo más4 Realmente el mecanismo suele ser más elaborado; aquí se ha utilizado una forma muy simple de ocultaciónúnicamente a modo de ejemplo.