Seguridad en linux con rkhunter

www.onlinetis.com
 

¿Qué es rkhunter?

rkhunter (Rootkit Hunter) es una herramienta de línea de comandos para sistemas Unix/Linux diseñada para escanear y detectar rootkits, puertas traseras (backdoors), exploits locales y otras vulnerabilidades en el sistema.

¿Cómo funciona?

rkhunter utiliza varias técnicas para realizar su trabajo:

• Comparación de firmas: Compara los hashes (MD5, SHA, etc.) de archivos importantes del sistema con los valores de una base de datos en línea conocida. Si un archivo ha sido modificado, rkhunter lo detectará.

• Detección de rootkits conocidos: Busca los archivos y directorios por defecto que utilizan los rootkits.

• Comprobación de permisos: Verifica si los permisos de archivos y directorios son correctos.

• Búsqueda de archivos ocultos: Escanea el sistema en busca de archivos y directorios que están ocultos de forma sospechosa.

• Análisis de módulos del kernel: Busca cadenas de texto sospechosas en los módulos cargables del kernel (LKM).

• Análisis de red: Puede buscar puertos abiertos de manera inusual.

Instalación

La instalación de rkhunter es muy sencilla y generalmente se encuentra en los repositorios de la mayoría de las distribuciones de Linux.

Para sistemas basados en Debian/Ubuntu:

Bash

sudo apt-get install rkhunter

Para sistemas basados en Red Hat/CentOS/Fedora:

Bash

sudo yum install rkhunter
o
sudo dnf install rkhunter

Uso básico

Una vez instalado, el comando principal para ejecutar un escaneo es:

Bash

sudo rkhunter --check

Este comando iniciará un escaneo completo del sistema. El proceso puede tardar varios minutos y, al finalizar, generará un informe detallado.

Opciones de uso comunes

• --check: Realiza el escaneo completo del sistema.

• --update: Actualiza la base de datos de firmas de rkhunter desde Internet. Es muy importante ejecutar este comando regularmente para que la herramienta pueda detectar las amenazas más recientes.

• --propupd: Actualiza la base de datos de propiedades de los archivos del sistema. Esto es útil después de instalar o actualizar software para evitar falsos positivos en futuros escaneos.

• --versioncheck: Comprueba si hay una versión más reciente de rkhunter.

• --help: Muestra un listado de todas las opciones de línea de comandos disponibles.

Configuración

El archivo de configuración principal de rkhunter se encuentra en /etc/rkhunter.conf. Puedes editar este archivo para ajustar el comportamiento de la herramienta, como, por ejemplo, ignorar ciertos archivos o directorios, o configurar las opciones de notificación por correo electrónico.

Registro de eventos

Todos los resultados de los escaneos de rkhunter se registran en un archivo de log, que se encuentra típicamente en /var/log/rkhunter.log. Revisar este archivo es crucial para analizar los resultados de los escaneos y tomar las medidas necesarias.

Consideraciones importantes

• Falsos positivos: Es común que rkhunter reporte "warnings" (advertencias) que no necesariamente indican una infección real. Por ejemplo, al actualizar un programa, el hash de su ejecutable cambiará, lo que rkhunter detectará como una posible modificación. Es importante investigar cada advertencia para determinar si es un problema real o un falso positivo.

• Herramienta complementaria: rkhunter es una herramienta de seguridad muy útil, pero no es un sustituto de un antivirus o de otras medidas de seguridad. Se recomienda utilizarla junto con otras herramientas como chkrootkit para una detección más completa.

• No elimina el malware: rkhunter es un detector, no un eliminador. Si encuentra un rootkit o una puerta trasera, la tarea de eliminarlo es manual.