Rkhunter: Unterschied zwischen den Versionen
Zur Navigation springen
Zur Suche springen
Denis (Diskussion | Beiträge) |
|||
| Zeile 1: | Zeile 1: | ||
=Installation= | =Installation= | ||
| − | + | *apt-get install rkhunter | |
| − | + | =Erste schritte= | |
| − | + | ==Nach der Installation von rkhunter== | |
| − | + | *rkhunter --propupd --update | |
| − | + | ==Das Programm auf den aktuellen Stand zu bringen.== | |
| − | |||
| − | |||
| − | |||
| − | |||
| − | = | ||
| − | Nach der Installation von rkhunter | ||
| − | |||
| − | |||
rkhunter -c | rkhunter -c | ||
| − | |||
= Einige Parameter = | = Einige Parameter = | ||
{| class="wikitable" | {| class="wikitable" | ||
| Zeile 35: | Zeile 26: | ||
=configfile= | =configfile= | ||
| − | + | *vi /etc/rkhunter.conf | |
| − | |||
ROTATE_MIRRORS=1 | ROTATE_MIRRORS=1 | ||
| Zeile 83: | Zeile 73: | ||
=cronjob testscript= | =cronjob testscript= | ||
| − | + | *vi /usr/local/sbin/rkhunter.sh | |
| − | |||
#!/bin/bash | #!/bin/bash | ||
RKHUNTER="/usr/bin/rkhunter -c --skip-keypress --nocolors --rwo" | RKHUNTER="/usr/bin/rkhunter -c --skip-keypress --nocolors --rwo" | ||
RKOUT="/tmp/rk.log" | RKOUT="/tmp/rk.log" | ||
| − | MAIL="technik@ | + | MAIL="technik@xxxx.de" |
$RKHUNTER > $RKOUT | $RKHUNTER > $RKOUT | ||
if test -s $RKOUT | if test -s $RKOUT | ||
| Zeile 96: | Zeile 85: | ||
fi | fi | ||
| − | + | *crontab -e | |
0 0 * * 0 /usr/local/sbin/rkhunter.sh | 0 0 * * 0 /usr/local/sbin/rkhunter.sh | ||
=cron.daily deaktivieren= | =cron.daily deaktivieren= | ||
| − | + | *vi /etc/default/rkhunter | |
| − | |||
CRON_DAILY_RUN="no" | CRON_DAILY_RUN="no" | ||
Version vom 6. Oktober 2020, 19:05 Uhr
Installation
- apt-get install rkhunter
Erste schritte
Nach der Installation von rkhunter
- rkhunter --propupd --update
Das Programm auf den aktuellen Stand zu bringen.
rkhunter -c
Einige Parameter
| Parameter | Beschreibung |
|---|---|
| -c | kompletter System-Scan |
| --display-logfile | zeigt eine Zusammenfassung des Scans am Ende |
| --skip-keypress | man muss zwischen den einzelnen Scan-Abschnitten nicht mehr Enter drücken |
| --update | führt ein Update der known-bad Hash-Datenbank durch |
| --propupd | führt ein Update der known-good Hash-Datenbank durch (nur bei der manuell installierten Version bzw. > 1.3 möglich ) |
| --syslog [facility.priority] | Logge die Check Start- und Endzeiten nach syslog (Default: authpriv.notice) |
| -l [datei] | Schreibe in Logdatei (Default: /var/log/rkhunter.log) |
configfile
- vi /etc/rkhunter.conf
ROTATE_MIRRORS=1
UPDATE_MIRRORS=1
MIRRORS_MODE=0
MAIL-ON-WARNING=""
MAIL_CMD=mail -s "[rkhunter] Warnings found for ${HOST_NAME}"
TMPDIR=/var/lib/rkhunter/tmp
DBDIR=/var/lib/rkhunter/db
SCRIPTDIR=/usr/share/rkhunter/scripts
UPDATE_LANG=""
LOGFILE=/var/log/rkhunter.log
APPEND_LOG=0
COPY_LOG_ON_ERROR=0
COLOR_SET2=0
AUTO_X_DETECT=1
WHITELISTED_IS_WHITE=0
ALLOW_SSH_ROOT_USER=yes
ALLOW_SSH_PROT_V1=0
ENABLE_TESTS="all"
DISABLE_TESTS="suspscan hidden_procs deleted_files packet_cap_apps apps"
SCRIPTWHITELIST=/bin/egrep
SCRIPTWHITELIST=/bin/fgrep
SCRIPTWHITELIST=/bin/which
SCRIPTWHITELIST=/usr/bin/groups
SCRIPTWHITELIST=/usr/bin/ldd
SCRIPTWHITELIST=/usr/bin/lwp-request
SCRIPTWHITELIST=/usr/sbin/adduser
SCRIPTWHITELIST=/usr/sbin/prelink
SCRIPTWHITELIST=/usr/bin/unhide.rb
IMMUTABLE_SET=0
ALLOWHIDDENDIR="/dev/.udev"
ALLOWHIDDENFILE="/dev/.initramfs"
PHALANX2_DIRTEST=0
ALLOWDEVFILE="/dev/.udev/rules.d/root.rules"
ALLOW_SYSLOG_REMOTE_LOGGING=0
SUSPSCAN_TEMP=/dev/shm
SUSPSCAN_MAXSIZE=10240000
SUSPSCAN_THRESH=200
USE_LOCKING=0
LOCK_TIMEOUT=300
SHOW_LOCK_MSGS=1
DISABLE_UNHIDE=1
INSTALLDIR="/usr"
cronjob testscript
- vi /usr/local/sbin/rkhunter.sh
#!/bin/bash RKHUNTER="/usr/bin/rkhunter -c --skip-keypress --nocolors --rwo" RKOUT="/tmp/rk.log" MAIL="technik@xxxx.de" $RKHUNTER > $RKOUT if test -s $RKOUT then cat $RKOUT | mutt -s "$hostname rkhunter" $MAIL fi
- crontab -e
0 0 * * 0 /usr/local/sbin/rkhunter.sh
cron.daily deaktivieren
- vi /etc/default/rkhunter
CRON_DAILY_RUN="no"
Warnungen
Warning: The file 'xxxx' exists on the system, but it is not present in the rkhunter.dat file. Abhilfe: rkhunter --propupd
Fix
*http://archive.ubuntu.com/ubuntu/pool/universe/r/rkhunter/rkhunter_1.4.0-3_all.deb