9:rootkit検知ツール導入(chkrootkit)

schkrootkitのインストール
# wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
chkrootkit.tar.gzを展開する
# tar zxvf chkrootkit.tar.gz
実行ファイルを/binに移動する
# mkdir -p ~/bin && mv chkrootkit-0.50/chkrootkit ~/bin
ダウンロードしたファイルと展開先ディレクトリーを削除
# rm -f chkrootkit.tar.gz
# rm -rf chkrootkit-0.50

chkrootkitの実行
# chkrootkit | grep INFECTED
変なファイルが無ければ、何も表示されないが
Searching for Linux.Xor.DDoS … INFECTED: Possible Malicious Linux.Xor.DDoS installed
と表示された!!
私の先生のcentossrv.comの質問掲示板にも同様の書き込みがhttps://centossrv.com/patio/centossrv.cgi?read=3066
ここを見ると、どうも誤検知みたいだ。
# find /tmp -executable -type f
/tmp/ks-script-DuXVBx と表示された。
このks-script-DuXVBxの実行権限を外して、再度
# chkrootkit | grep INFECTED
では何も表示されなかった。
毎日chkrootkitを動かすスクリプトを作る
# gedit /etc/cron.daily/chkrootkit

#!/bin/sh
PATH=/usr/bin:/bin:/root/bin
LOG=/tmp/$(basename ${0})
# chkrootkit実行
chkrootkit > $LOG 2>&1
# ログ出力
cat $LOG | logger -t $(basename ${0})
# SMTPSのbindshell誤検知対応
if [ ! -z "$(grep 465 $LOG)" ] && \
[ -z $(/usr/sbin/lsof -i:465|grep bindshell) ]; then
sed -i '/465/d' $LOG
fi
# upstartパッケージ更新時のSuckit誤検知対応
if [ ! -z "$(grep Suckit $LOG)" ] && \
[ -z "$(rpm -V rpm -qf /sbin/init)" ]; then
sed -i '/Suckit/d' $LOG
fi
# rootkit検知時のみroot宛メール送信
[ ! -z "$(grep INFECTED $LOG)" ] && \
grep INFECTED $LOG | mail -s "chkrootkit report in hostname" root

これで万が一 rootkitがインストールされ場合はメールが来る。
この後、https://centossrv.com/chkrootkit.shtml
を参考にコマンド群の退避を行っておく。
カテゴリー: CentOS7に挑戦 | コメントする

8:ファイル改竄検知システム Tripwireの導入

ここはhttp://centossrv.com/tripwire.shtml
の受け売りで

# yum -y install tripwire ← tripwireインストール 
# tripwire-setup-keyfiles ← tripwire初期設定

設定するためにサイトパスフレーズを2回聞かれ、ローカルパスフレーズも2回聞いてきます。さらにサイトパスフレーズを2回聞いてきます。のでサイトパスフレーズとローカルパスフレーズを控えておきます。ここもhttp://centossrv.com/tripwire.shtm
を参考にしています。Tripwire設定 をしていきます。

# gedit /etc/tripwire/twcfg.txt

上の図のように2ヶ所変更し保存

# twadmin -m F -c /etc/tripwire/tw.cfg -S /etc/tripwire/site.key /etc/tripwire/twcfg.txt ← Tripwire設定ファイル(暗号署名版)作成

サイトパスフレーズを聞かれます。そして.txtファイルを削除しておく

# rm -f /etc/tripwire/twcfg.txt ← Tripwire設定ファイル(テキスト版)削除
※Tripwire設定ファイル(テキスト版)を復元する場合
# twadmin -m f -c /etc/tripwire/tw.cfg > /etc/tripwire/twcfg.txt
# gedit /etc/tripwire/twpolmake.pl
#!/usr/bin/perl
# Tripwire Policy File customize tool
# ----------------------------------------------------------------
# Copyright (C) 2003 Hiroaki Izumi
# This program is free software; you can redistribute it and/or
# modify it under the terms of the GNU General Public License
# as published by the Free Software Foundation; either version 2
# of the License, or (at your option) any later version.
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
# GNU General Public License for more details.
# You should have received a copy of the GNU General Public License
# along with this program; if not, write to the Free Software
# Foundation, Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307, USA.
# ----------------------------------------------------------------
# Usage:
# perl twpolmake.pl {Pol file}
# ----------------------------------------------------------------
#
$POLFILE=$ARGV[0];
open(POL,"$POLFILE") or die "open error: $POLFILE" ;
my($myhost,$thost) ;
my($sharp,$tpath,$cond) ;
my($INRULE) = 0 ;
while (<POL>) { chomp;
if (($thost) = /^HOSTNAME\s*=\s*(.*)\s*;/) {
$myhost = `hostname` ; chomp($myhost) ;
if ($thost ne $myhost) {
$_="HOSTNAME=\"$myhost\";" ;
}
}
elsif ( /^{/ ) {
$INRULE=1 ;
}
elsif ( /^}/ ) {
$INRULE=0 ;
}
elsif ($INRULE == 1 and ($sharp,$tpath,$cond) = /^(\s*\#?\s*)(\/\S+)\b(\s+->\s+.+)$/) {
$ret = ($sharp =~ s/\#//g) ;
if ($tpath eq '/sbin/e2fsadm' ) {
$cond =~ s/;\s+(tune2fs.*)$/; \#$1/ ;
}
if (! -s $tpath) {
$_ = "$sharp#$tpath$cond" if ($ret == 0) ;
}
else {
$_ = "$sharp$tpath$cond" ;
}
}
print "$_\n" ;
} close(POL) ;
# perl /etc/tripwire/twpolmake.pl /etc/tripwire/twpol.txt > /etc/tripwire/twpol.txt.new ← ポリシーファイル最適
# echo ! "/var/lib/tripwire/hostname.twd ;" >> /etc/tripwire/twpol.txt.new ← Tripwireデータベース自体をチェック対象外にする
# echo ! "/tmp/tripwire.log ;" >> /etc/tripwire/twpol.txt.new ← Tripwireログをチェック対象外にする※後述のTripwire定期自動実行スクリプトで使用
# twadmin -m P -c /etc/tripwire/tw.cfg -p /etc/tripwire/tw.pol -S /etc/tripwire/site.key /etc/tripwire/twpol.txt.new ← 最適化済ポリシーファイルを元にポリシーファイル(暗号署名版)作成
# twadmin -m P -c /etc/tripwire/tw.cfg -p /etc/tripwire/tw.pol -S /etc/tripwire/site.key /etc/tripwire/twpol.txt.new ← 最適化済ポリシーファイルを元にポリシーファイル(暗号署名版)作成サイトパスフレーズ

サイトパスフレーズを聞いてくるので入力するとポリシーファイルを作る。

rm -f /etc/tripwire/twpol.txt* ← ポリシーファイル(テキスト版)削除
※ポリシーファイル(テキスト版)を復元する場合
twadmin -m p -c /etc/tripwire/tw.cfg -p /etc/tripwire/tw.pol -S /etc/tripwire/site.key > /etc/tripwire/twpol.txt

データベース作成

# tripwire -m i -s -c /etc/tripwire/tw.cf

ローカルパスフレーズを聞いてくるので入力、そして
Tripwire確認

# tripwire -m c -s -c /etc/tripwire/tw.cfg

結構なファイルをチェックしているので時間がかかるが、レポートが表示されればOK

カテゴリー: CentOS7に挑戦 | コメントする

7:EPELレポジトリーの導入

先ずは、CentOSの レポジトリーに無いものがいっぱいあるので、EPELをいれます。

# rpm -ivh https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm
# yum -y install yum-plugin-versionlock

として、レポジトリーとバージョンロックをいれます。

/etc/yum.repos.d/にepel.repoが入っている筈です

カテゴリー: CentOS7に挑戦 | コメントする

6:初期設定ー色々

この辺の設定は私の先生であるhttp://centossrv.com/
を参考にしています。
アップデートを夜に自動でするためにyum-cronをいれます。

# yum -y install yum-cron
# systemctl start yum-cron ← パッケージ自動更新起動
# systemctl enable yum-cron ← パッケージ自動更新自動起動設定

次に開発関連のプログラムをいれます。

# yum -y groupinstall base "Development tools" ← ベース、開発ツールパッケージ群インストール

rootのメールを自分のメアドに送る設定

# gedit /etc/aliases

上の画像のように自分のメアドを設定し保存。

# newaliases ← 転送設定反映
# echo test|mail root ← テストメールをroot宛に送信す

自分のメアドにメールがきている事を確認
selinuxを無効にする(本当は有効の方がいいのだが、私の技量では未だ追いついていけないので

# getenforce ← SELinux状態確認
Enforcing ← SELinux有
# setenforce 0 ← SELinux無効化
# getenforce ← SELinux状態確認
Permissive ← SELinux無

このままでは再起動後に有効になってしまいますので

# gedit /etc/sysconfig/selinux ← SELinux設定ファイル編集

SELINUX=をdisabled にして保存
日本語処理に必要なnkfコマンドをインストールする

# wget "http://sourceforge.jp/frs/redir.php?m=jaist&f=%2Fnkf%2F59912%2Fnkf-2.1.3.tar.gz" -O nkf-2.1.3.tar.gz ← nkfダウンロード
# tar zxvf nkf-2.1.3.tar.gz ← nkf展開
# cd nkf-2.1.3/ ← nkf展開先ディレクトリへ移動
# make && make install ← nkfインストール
# cd ← nkf展開先ディレクトリを抜ける
# rm -rf nkf-2.1.3 ← nkf展開先ディレクトリを削除
# rm -f nkf-2.1.3.tar.gz ← ダウンロードしたnkfを削除
# ln -s /usr/local/bin/nkf /usr/bin/nkf ← /usr/local/bin/nkfから/usr/bin/nkfへリンクをはる
カテゴリー: CentOS7に挑戦 | コメントする

5:初期設定ー端末の表示サイズを大きくする

まずはデフォルトの端末のサイズが小さいので大きくしていきますが、端末を開いてメニューの端末から4. 132×43で大きくなりますが、コレだと毎回変更しなくてはならないのでデフォルトの設定を変更します。

上部の端末をクリックし、設定をクリックっすると

新しいプロファイルの名前の入力になりますので名前を入れ、Createをクリックすると上の画像になりますので起動時の端末サイズを好みの数値にし閉じるをクリック。

出来たプロファイの▼をクリックし”Set as default”をクリックすると、次のスタートからこの解像度になります。

カテゴリー: CentOS7に挑戦 | コメントする

4:CentOS6との違い

大きな違いは色んなWEBにありますが、ここでは細かな違いを書いて行きます。

1:アプリケーションの設定画面が無くなっている!実際は一番上のバー(何て呼ぶかは知らない)にアプリケーション名が表示されるので、クリックすると設定が現れることがある。(gedit, terminal等)

2:firefoxは Altキーを押すとメニューが現れ、また押すと消える(トグルする)これはfirefoxのバージョンの違いかも?

3:ファイルブラウザのブックマーク:
赤線を引いてある所がブックマークを設定するところ

4:spiceのインストール。CentOS6ではVNCで仮想ホストに接続していたが、VNCよりspiceの方がよさげだし、CentOS7ではインストール済みであった。KVMホスト側では設定をしなくていい。

5:デフォルトで仮想マシンマネージャー(virt-manager)がインストールされていない。ので、yum install virt-manager でインストールする。するとアプリケーション→システムツールにある。

カテゴリー: CentOS7に挑戦 | コメントする

3:OSをアップデートする

まだ、displayの解像度が1024×768しかありませんが、先にOSのアップデートをします。

# yum update

としましたが何時迄経っても他のアプリケーションが使用中でLOCKが外れません。多分何かの具合でpidが残ったままだと思われるので、

# rm -f /var/run/yum.pid

とし、再度

# yum update

インストールしていたのはCentOS7.3でしたので、物凄い量のアップデートがありますし、時間がかかります。終わったら再起動をします(kernelのバージョンが上がっているので)。

旧バージョンは 3.10.0-514.el7.x84_64

新バージョンは 3.10.0-917.1.3.el7/x86_64

で、画面の解像度が自動で1920×1080に上がていた。

参考までにDisplayドライバーは(このアリカを探すのに苦労をした)www.amd.com/ja/support にアクセス。Graphics→Radeon RX Vega Series→Radeon RX Vega Series→Radeon RX Vega 64 を選択し送信をクリック。CentOSがありますのでRHEL7.6にある“ダウンロード”をクリックすると、amdgpu-pro-18.50-708488-rhel-7.6.tar.xzがダウンロードできます。インストールはGUIでやった方が簡単なのでファイルブラウザで保存場所に行き、ダウンロードしたファイルをダブルクリックすると、ウィンドウが表示され、Extract をクリックし、展開をクリックすると、amdgpu-pro-18.50-708488-rhel-7.6 が出来るので中に amdgpu-pro-installがある事を確認。ターミナルを立ち上げて、この場所まで行き、./amdgpu-pro-install と打ち込むとインストールが始まります。

カテゴリー: CentOS7に挑戦 | コメントする

2:CentOS 7.5のインストール

ダウンロードは色々なWEBにあるので、そちらを参考にしてください。

私は16GBのUSBディスクにOSのインストールデータを入れ、そこからインストールしていきます。EFI(BIOS)でこのUSBからブートするように設定し、インストールを開始、これも色々なWEBにあるので、そちらを参照。私はIPは固定にし、ソフトウェアの選択で、GNOME Desktop を選び、レガシーなX…..、スマートカード…… 以外にチェックを付インストール。kdumpは無効、ネットワークはホスト名を設定し私の場合はマザーに無線LANが入っているので、イーサネットと無線LAN野両方が在りますが、無線LANは無効にし、イーサネットをONにし、IPV4で固定IPやgateway, DNSの設定などを設定し、security policyはオフにしてインストールを開始する。インストール中にrootのパスワードとユーザーの作成を行い一人のユーザーには管理者にするにチェックを入れておきます。

インストール後に設定する過程で、一つだけ注意することは、日本語の選択で必ず、日本語 (かな漢字)を選ぶ事。さもないと日本語の入力が出来無い。一通り終わったらさらに再起動する。

カテゴリー: CentOS7に挑戦 | コメントする

1:機器構成

そろそろCentOS7を勉強する。インストール機材は

Mother Board: MSI B350I PRO AC

CPU: AMD RAYZEN 5 2400G

Memory: DDR4 32GB

SSD: 512G & 1TB

ケース: ANTEC ISK-110 VESA-U3

1: マザーボードはDC19V位のDCを直接入力出来るのがいいのだが(RSRock AM1H-ITX見たいな)、探した限りではいいのがなく、ケースにDC19V入力を各電圧に変換する電源ボードが付いている物を選択した。サーバーなので、グラフィック付きのCPUにした(グラフィックのパワーはいらない)。SDDは512GにOSやKVMのサブホスト、その他のデーター保存領域を作り、1TBのSSDはバックアップのデーター保存領域にする。

これにCentOS 7.5インストールする。

カテゴリー: CentOS7に挑戦 | コメントする

怪しいメールは送信者をチェックする事、自分であれば間違いなくスパムやウィルス!!!

画像1の様なメールが来た。

これは単なる脅しで、何も流失していませんし、何も見られていません。

このメアドでアダルトサイトなんて見た事もありません。(受信専用)

では、これが脅しといえる理由

1:受信者と送信者が同じである。ということは自分でこのメールを送った事になる。もちろん送っていない。差出人は偽造できる。悪さをしようとする者は自分のメアドを知らせたくないので、このような事をする。以前はでたらめなメアドを使う事が多かったが、今は殆どのメールサーバーが送信者チェックをしているので、でたらめなメアドはそれに引っ掛かり、送信できないので、このようになっている。

2:詳しい方用:メール・ヘッダーと呼ばれている部分は

Received: from mx02-u01-tyo.paasmail.conoha.io (unknown [10.1.11.5])
by mda02-u01-tyo.paasmail.conoha.io (Postfix) with ESMTP id 2D4564CF824;
Sat, 17 Nov 2018 00:33:48 +0000 (UTC)
Received: from localhost (localhost [127.0.0.1])
by mx02-u01-tyo.paasmail.conoha.io (Postfix) with ESMTP id 24B71E45BA;
Sat, 17 Nov 2018 00:33:48 +0000 (UTC)
X-Virus-Scanned: amavisd-new at cnode.io
X-Spam-Flag: YES
X-Spam-Score: 31.854
X-Spam-Level: *******************************
X-Spam-Status: Yes, score=31.854 tagged_above=6.9 required=6.9
tests=[BAYES_00=-1.9, BITCOIN_SPAM_07=1.499, BITCOIN_SPAM_08=1.499,
CK_HELO_DYNAMIC_SPLIT_IP=0.001, CMAE_1=10, FROM_IN_TO_AND_SUBJ=0.309,
HDR_ORDER_FTSDMCXX_DIRECT=1.56, HDR_ORDER_FTSDMCXX_NORDNS=2.874,
HELO_DYNAMIC_IPADDR2=3.607, HTML_MESSAGE=0.001, MIMEOLE_DIRECT_TO_MX=0.001,
MPART_ALT_DIFF_COUNT=1.112, NO_FM_NAME_IP_HOSTN=1.141,
RCVD_IN_BL_SPAMCOP_NET=1.347, RCVD_IN_PSBL=2.7, RCVD_IN_RP_RNBL=1.31,
RCVD_IN_SORBS_WEB=1.5, RDNS_NONE=0.793, TO_EQ_FM_DIRECT_MX=2.499,
TVD_RCVD_IP=0.001] autolearn=no autolearn_force=no
Received: from mx02-u01-tyo.paasmail.conoha.io ([127.0.0.1])
by localhost (cnode.io [127.0.0.1]) (amavisd-new, port 10024) with ESMTP
id WzMONWcQ5LBO; Sat, 17 Nov 2018 00:33:46 +0000 (UTC)
Received-SPF: softfail (inpac.jp: Sender is not authorized by default to use
‘info@inpac.jp’ in ‘mfrom’ identity, however domain is not currently prepared
for false failures (mechanism ‘~all’ matched))
receiver=eaas-u01-recv-mta02.p1.tyo1.v4.internal-gmo; identity=mailfrom;
envelope-from=”info@inpac.jp”; helo=177-8-50-54.webbytelecom.com.br;
client-ip=177.8.50.54
Received: from 177-8-50-54.webbytelecom.com.br (unknown [177.8.50.54])
by mx02-u01-tyo.paasmail.conoha.io (Postfix) with ESMTP id B8BA8DF2FB
for <info@inpac.jp>; Sat, 17 Nov 2018 00:33:41 +0000 (UTC)
Message-ID: <A5AD300FB83892878F122D9A1AB0A5AD@G33WFJ34>
From: info@inpac.jp
To: info@inpac.jp

となっていて、これを見ると(赤字)ブラジルから来ていてIPは178.8.50.54であることが判る。webbytelecom.com.br の誰かが悪さをしている。でもこのIPを調べるとドイツのボーダフォンが持っているIPだ??

カテゴリー: 危険メールや手紙、IP | コメントする