Ceci est une ancienne révision du document !



Que faire en cas de soupçons d'un serveur compromis ?

Récemment, j'ai fait la triste expérience d'avoir des doutes quant à l'intégrité d'un de nos serveurs. Par chance, il n'était pas compromis, il s'agissait juste d'un problème d'alimentation qui provoquait un redémarrage du serveur de manière aléatoire.

Durant ces instants de doute, j'ai cherché à trouver une éventuelle faille de sécurité dans le système. Pour ce faire, j'ai fait pas mal d'opérations et il m'a semblé judicieux d'en faire part à d'autres. D'ailleurs, si vous voyez des opérations plus fines qui peuvent être utiles, n'hésitez pas à l'ajouter à ce document.

Rentrons dans le vif du sujet.

La première chose à faire, c'est d'empêcher tous les accès (distants et locaux) à la machine.

Pour ce faire, vous entrez la commande suivante :

sudo touch /etc/nologin

À partir de ce moment, toutes les connexions locales et distantes sont refusées. (On réactivera les connexions plus tard).

ATTENTION !!! Veillez à ne pas sortir de la session en cours, sinon vous ne pourrez plus vous reconnecter sur la machine.

Ne le faites que si vous êtes certain de la qualité de votre connexion ! Si votre ADSL n'est pas très stable ou si votre connexion SSH coupe parfois, ne prenez pas ce risque, vous ne pourriez plus vous reconnecter.

La première source d'information qui peut vous aider sont les logs du système. Si vous avez bien lu ce qu'à écrit Ju à propos du sudo, vous n'avez pas donné de mot de passe au root et toutes les actions des administrateurs du système passent par la commande sudo.

Si c'est le cas, toutes les actions sont logguées dans le fichier /var/log/auth.log. Ces logs vous permettront de savoir si un utilisateur a fait une erreur de manipulation ou si quelqu'un a utilisé son mot de passe à de mauvaises fins.

Évidemment, si vous avez un vrai pirate qui est entré dans votre système, il aura pris soin de supprimer les fichiers logs d'authentification ou au moins d'effacer les lignes qui le mettent en cause.

Ensuite, vous pouvez examiner les commandes introduites par les utilisateurs dans l'historique du bash (le système qui permet de retrouver les anciennes lignes tapées avec la flèche HAUT du clavier).

Ces historiques sont beaucoup moins précis que les logs d'authentification mais elles permettront de mettre en cause ou non un utilisateur. Les pirates ne pensent pas toujours à supprimer ces historiques, ce qui peut aider à déterminer si le système est corrompu et prendre des mesures.

Les historiques se trouvent dans les répertoires des utilisateurs (/root, /home/ostaquet, /home/ju,…) et porte le nom .bash_history.

Si vous avez vu quelque chose de suspect par rapport à un utilisateur, la première chose à faire est de lui bloquer ses accès et supprimer les processus qui lui sont attachés.

Pour ce faire, il vous suffit d'éditer le fichier /etc/passwd et de remplacer le shell par défaut de l'utilisateur en /bin/false.

Par exemple, avant :

ostaquet:x:1000:1000:Olivier Staquet,,,:/home/ostaquet:/bin/bash

Après :

ostaquet:x:1000:1000:Olivier Staquet,,,:/home/ostaquet:/bin/false

Ensuite, vous supprimez tous les processus attachés à cet utilisateur (par exemple, pour l'utilisateur ostaquet) :

sudo killall -u ostaquet

Vous pouvez, à priori, réouvrir les connexions entrantes (surtout si la machine est une machine de production) :

sudo rm /etc/nologin

Concernant les mots de passe, qui sont souvent une faille de sécurité, il est intéressant de les changer régulièrement (tous les 3 mois par exemple ou mieux, tous les mois) et d'utiliser des mots de passe un peu complexe.

Vous trouverez des informations pour la génération des mots de passe sur cette page.

Ensuite, il est intéressant d'arrêter tous les services tournant sur la machine pour examiner les portes dérobées. Pour ce faire, il vous suffit de parcourir vos notes d'exploitations (que vous avez rédigées au préalable…) et d'utiliser les commandes du type :

sudo /etc/init.d/<service> stop

Pensez également à arrêter le portmap, l' inetd et l' xinetd. Sans oublier les services spéciaux ou propriétaires.

À partir d'une autre machine et sur chacune des interfaces réseaux du serveur suspect, lancer un nmap.

L'application nmap est un scanneur de ports qui s'installe très facilement via la commande suivante :

sudo apt-get install nmap

Ensuite, vous l'utilisez de la manière suivante (192.168.0.1 étant l'adresse IP du serveur suspect) :

sudo nmap 192.168.0.1 -p 1-65535

Le résultat indique quels sont les ports ouverts sur la machine. Ne paniquez pas tout de suite si vous avez des ports ouverts : il s'agit peut être d'un service que vous avez oublié d'arrêter.

Si vous n'avez aucun port ouvert, c'est un bon signe. S'il reste des services ouverts, arrêtez-les et relancez le scan.

Si vous ne trouvez rien cela ne veut pas dire que vous n'avez pas été compromis… car il est possible que vous ayez des connexions inversées ! C'est à dire des connexions créées dans le sens inverse : le pirate a ouvert les ports sur sa propre machine et votre machine s'y connecte. Il y a deux façons de voir les connexions : netstat -antp et wireshark. Le programme netstat peut avoir été modifié par l'intrus aussi il est conseillé de faire tourner wireshark ou tout autre analyseur de paquets pour détecter les connexions suspectes.

Après cela, il est intéressant de vérifier si aucun rootkit n'a été installé. Dans les grandes lignes, un rootkit permet à un intrus de reprendre le contrôle de la machine ultérieurement en laissant un petit programme lui ouvrant la porte.

Il existe deux applications permettant d'identifier les rootkits les plus courants; il s'agit de rkhunter et chkrootkit. Pour les installer, utilisez la commande suivante :

sudo apt-get install chkrootkit rkhunter

Exécutez-les par les commandes suivantes :

sudo chkrootkit
sudo rkhunter --checkall

Si rien ne vous semble suspect, redémarrez la machine et procédez à nouveau à la vérification. Si quelque chose est détecté comme suspect, l'application indiquera quel est le port suspecté.

Pour savoir quel est exactement l'application qui tient ce port (peut-être pas détecté par le scan nmap), vous pouvez utiliser la commande suivante (exemple, pour le port 600) :

sudo lsof -i:600

Après, à vous de voir si c'est vraiment une intrusion ou si c'est un service qui tourne en arrière plan…

La dernière vérification indispensable à faire est le scan complet du disque dur avec un antivirus (à jour !!!). Sur la page wiki traitant de la sécurité, vous trouverez différents antivirus.

Une fois la batterie de tests effectuées, si rien n'a été trouvé… Relancez tous les tests mais après un redémarrage de la machine (au cas où un système d'intrusion s'activerait au démarrage suivant).

Si tout va bien, il n'y a normalement rien d'anormal sur votre serveur. Je dis bien normalement car à moins de couler un système informatique dans du béton sans aucune connexion vers l'extérieur, la sécurité totale n'existe jamais.

Je ne prétends pas répondre à tous les problèmes de sécurité dans ce court document, cependant, les intrusions fréquentes sont effectuées par des faux pirates qui ré-utilisent des exploits créés par d'autres. Fondamentalement, 95% des attaques sont toujours faites avec une poignée de rootkits connus. Dès lors, si vous avez été piraté par un pirate amateur, cela devrait être détecté avec les quelques outils présentés ici.


Contributeur : ostaquet

  • tutoriel/que_faire_en_cas_de_serveur_compromis.1197465228.txt.gz
  • Dernière modification: Le 18/04/2011, 14:50
  • (modification externe)