Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Разбор последствий взлома Linux-хостов выявил странную актив..., opennews (?), 01-Дек-11, (0) [смотреть все] Да все проще Центос ломать одно удовольствие там обновления безопасности по го, Аноним (-), 16:07 , 01-Дек-11, (3) +3 // Можно подумать что у hardhat а какой-то особый ssh , Аноним (-), 16:31 , 01-Дек-11, (6) +3 // Да, есть маленько А еще у них ядро особое , Аноним (-), 16:40 , 01-Дек-11, (7) +1 // И чего у них там есть Про ядра заскипано неинтересно Про ssh расскажите , Аноним (-), 17:15 , 01-Дек-11, (18) SELINUX, Аноним (-), 17:28 , 01-Дек-11, (22) Вы что, блондинка Или зачем тут капс Кроме того, если уж хост взломали - значи, Аноним (-), 19:34 , 01-Дек-11, (42) –3 Гадайта гадайте, вот еще вариант - может как в 99 9999999 всех остальных случае, anonymous (??), 01:46 , 02-Дек-11, (80) +3 А еще был опровергнута теория о том, что nix - это защищенные системы , Аноним (-), 14:28 , 02-Дек-11, (105) –3 А вот это как бы это зависит от метода взлома А то может и правда подобрали суп, Аноним (-), 16:47 , 02-Дек-11, (124) Вообще-то, сверх защищённые За пару минут можно закрыть так, что и сам не попад, Кирилл (??), 19:47 , 02-Дек-11, (142) Тамошний ssh имеет очень мало общего с аналогичной версией из мейнстрима Наприм, Аноним (-), 14:31 , 02-Дек-11, (107) Очень полезно пихать в песочницу рута , Кирилл (??), 14:50 , 02-Дек-11, (114) Бес полезно для рута бес полезно для всех остальных юзеров , Аноним (-), 16:10 , 02-Дек-11, (121) А зачем нужен рут в песочнице Чтобы дети могли поиграть в сисадмина , Аноним (-), 16:48 , 02-Дек-11, (125) Куда интереснее -каким макаром произошло проникновение А что, что ПО меняли, т, Анонище (?), 16:43 , 01-Дек-11, (8) +2   // Journal там пока что не внедрили, так что без шансов , Аноним (-), 16:51 , 01-Дек-11, (12)   // А что бы это изменило , Аноним (-), 16:59 , 01-Дек-11, (15)   // Никто бы даже не узнал о взломе, очевидно , Аноним (-), 18:20 , 01-Дек-11, (33) –2   Да, на системах с syslog о взломе можно узнать только если повезет , Аноним (-), 14:15 , 02-Дек-11, (101)   Удалённая регистрация событий вывод всех событий авторизации на старый добрый , Кирилл (??), 14:48 , 02-Дек-11, (113)   Получится такой аналог Journal в стиле прошлого века P S Кстати, тут пробегала , Аноним (-), 15:59 , 02-Дек-11, (119)   Почему прошлого У меня так на всех шлюзах Регистрация всех важных событий лока, Кирилл (??), 19:41 , 02-Дек-11, (139)   До тех пор, пока хакеры не начнут их поджигать , Аноним (-), 16:26 , 03-Дек-11, (151)   сколько нарушителей и за сколько лет поймали, если не секрет , аноним1 (?), 22:40 , 09-Дек-11, (165)   Прочиталось как с рулоном туалетной бумаги, извините , Аноним (-), 16:49 , 02-Дек-11, (126)   Туалетную утащат , Кирилл (??), 19:45 , 02-Дек-11, (141)   Был бы более-менее доверительный механизм удаленного логгирования, с авторизацие, Аноним (-), 14:18 , 02-Дек-11, (102)   Он есть И rsyslog и syslog-ng имеют возможность передачи по SSL и проверкой хэш, Кирилл (??), 14:52 , 02-Дек-11, (115)   Но логам-то все равно нельзя верить Как справедливо заметил Поттеринг, любой тр, Аноним (-), 15:58 , 02-Дек-11, (118)   А вот помешать Апачу писать в лог от своего имени ему заметно сложнее , PereresusNeVlezaetBuggy (ok), 16:04 , 02-Дек-11, (120)   Да и незачем Смысл записи во много определяется ее контекстом А нужный контекс, Аноним (-), 16:12 , 02-Дек-11, (122)   В плане Запись из error_log, указывающая на попытку взлома, чем только ни допол, PereresusNeVlezaetBuggy (ok), 16:14 , 02-Дек-11, (123)   А что помешает хакеру убрать ее втихарика без палева , Аноним (-), 16:50 , 02-Дек-11, (127)   Отсутствие прав если ещё не рут, а только пытаеццо , PereresusNeVlezaetBuggy (ok), 19:10 , 02-Дек-11, (136)   Ну так если успешно попытается - права будут У поттеринга он может разве что це, Аноним (-), 19:55 , 02-Дек-11, (143)   Вот пока он будет пытаться, его и засекут Если за машиной будут следить только , PereresusNeVlezaetBuggy (ok), 19:59 , 02-Дек-11, (145)   Или не засекут, в зависимости от мастерства хакера и админа Ну, можно посадить д, Аноним (-), 12:40 , 09-Дек-11, (161)   Эта возможность была озвучена, так как она возможно, но не слишком вероятна А в, PereresusNeVlezaetBuggy (ok), 16:03 , 09-Дек-11, (163)   А зачем ее куда-то девать Достаточно накидать туда еще пару сотен тысяч таких ж, Аноним (-), 18:31 , 02-Дек-11, (133)   Ещё раз от анализатора логов Которому пофиг на остальной мусор, хоть из , PereresusNeVlezaetBuggy (ok), 19:11 , 02-Дек-11, (137)   Еще раз лог заполняется не мусором, а вполне определенными записями, соответств, Аноним (-), 16:29 , 03-Дек-11, (152)   И как вы собираетесь подделывать логи Вот вам access-лог Apache Имеем отметку в, PereresusNeVlezaetBuggy (ok), 21:29 , 03-Дек-11, (155)   Так надо сделать чтобы не пофиг было Кидаем еще 100500 записей в таком же ду, Аноним (-), 12:42 , 09-Дек-11, (162)   В таком случае фэйковые логи по определению будут идти _после_ реальных Этого, PereresusNeVlezaetBuggy (ok), 16:05 , 09-Дек-11, (164)   Причём тут верить или не верить Главное зарегистрировать хронологию событий Оч, Кирилл (??), 19:43 , 02-Дек-11, (140)   которых не было Любой бот может завалить лог гигабайтными потоками какбэ со, Аноним (-), 16:31 , 03-Дек-11, (153)   что за Journal, простите , аноним1 (?), 22:44 , 09-Дек-11, (166)   Не хочу гуглить, вкратце просветите, какими инструментами и для каких фс помимо, Вова (?), 17:50 , 01-Дек-11, (24) // http www opennet ru base sys recover_file10 txt html, Hugo Reyes (ok), 18:02 , 01-Дек-11, (28) +1 testdisk погугли , CrustY (?), 18:27 , 01-Дек-11, (34) +3 foremost, igron (ok), 19:51 , 01-Дек-11, (45) +1 спасибо всем , Вова (?), 07:55 , 02-Дек-11, (89) photorec, ext3grep , Аноним (-), 14:29 , 02-Дек-11, (106) Да никто там особо не заботился о том чтобы не взломали , выполнили свою задачу , Аноним (-), 18:51 , 01-Дек-11, (37) Автору конечно спасибо за труды, но непонятно, к чему повествование В 2009 каки, Аноним (-), 19:15 , 01-Дек-11, (38) +1 // Что с 2009 года в CentOS есть незакрытая дыра, дающая удалённо root , Аноним (-), 19:35 , 01-Дек-11, (43) +3 // Если с 2009 года не обновляться, как это любят делать ценители центоса - запрост, Аноним (-), 14:32 , 02-Дек-11, (108) В последнем CentOS 5 x пакет openssh-4 3p2-72 el5_7 5 i386 rpmВ 4 3p2-10 была ис, Аноним (-), 20:04 , 01-Дек-11, (47) +1 Не понятно из новости, что за хосты были взломаны и как они были связаны с Duqu , AdVv (ok), 20:45 , 01-Дек-11, (48) +1 При чтении оригинальной заметки с картинками вспомнился старый добрый симулятор, AdVv (ok), 20:48 , 01-Дек-11, (49) +2 // Это что-то типа fate , Аноним (-), 16:51 , 02-Дек-11, (128) // http ru wikipedia org wiki Uplink_ 28 D0 B8 D0 B3 D1 80 D0 B0 29, AdVv (ok), 11:29 , 28-Дек-11, (169) Что за дурь По моему все до единого сисадмины знают, что такой доступ верх беза, Аноним (-), 21:23 , 01-Дек-11, (50) // Дефолтовые настройки меняет мизерный процент сисадминов Даже если в системе вхо, Аноним (-), 22:34 , 01-Дек-11, (54) –1 Дурь это делать наоборот - вместо этого самому городить самодельные костыли, ник, anonymous (??), 01:48 , 02-Дек-11, (81) // Вы хотите сказать что отключить вход по логину root - это дурь делать наоборот , Аноним (-), 01:59 , 02-Дек-11, (84) // на каком сервере IP у вас тоже генератором паролей выбирается , qpq (ok), 02:35 , 02-Дек-11, (85) На моем Конечно нет Что за бред пишете и, главное, зачем , Аноним (-), 05:48 , 03-Дек-11, (148) это был сарказм как быпросто, пытался понять, зачем генерить случайное имя для п, qpq (ok), 12:20 , 09-Дек-11, (160) Да, дурь Нормальный пароль не подберут в обозримом будущем Сам пароль передает, Аноним (-), 05:48 , 02-Дек-11, (86) Тем, что 1 крякеру надо сначала угадать юзеровский логин для удаленного входа, к, xdsl (?), 06:53 , 02-Дек-11, (87) +1 А вы сидите и tail ом логи смотрите 24х7, SubGun (ok), 10:19 , 02-Дек-11, (94) А откуда следует что их останется больше чем при получении рута Кроме того, ну , Аноним (-), 12:03 , 02-Дек-11, (98) Ммм, контейнер Если ядро достаточно старое, есть шансы вылезти на хост с руто, Аноним (-), 14:34 , 02-Дек-11, (109) А в случае лени и паранойи надо виртуалки юзать Из них вы уже тоже умеете вылез, Аноним (-), 16:52 , 02-Дек-11, (129) Такой шанс бывает редко - для xen или vmware такие дыры находят раз в несколько , Аноним (-), 18:33 , 02-Дек-11, (134) Классная пьянка Мало что мой логин в виде 8x1UsNxKtW8B увели и сообразили что, Аноним (-), 05:45 , 03-Дек-11, (147) аксиома а не зависимо от того, включен или выключен логин от рута, ssh ведет себ, Аноним (-), 17:38 , 02-Дек-11, (132) +3 Бред какой-то Не понял, при чем тут разные системы, и еще у вас что, на разных м, Аноним (-), 12:55 , 03-Дек-11, (149) Ага, ага , Аноним (-), 14:25 , 02-Дек-11, (104) Вообще, хреновый какой-то пароль если за 8 попыток подбирается Толи вместо адми, Аноним (-), 16:58 , 02-Дек-11, (131) Разумеется, рутовый логин же был разрешен , Аноним (-), 18:34 , 02-Дек-11, (135) Вы действительно так считаете Тогда Duqu идет к вам , Аноним (-), 14:23 , 02-Дек-11, (103) Может быть и верх, но по умолчанию ремотный доступ рутом разрешен во всех дистри, kshetragia (ok), 07:03 , 02-Дек-11, (88) // Нормальные админы эту возможность убирают сразу после создания пользователя, кот, Mikula (?), 10:03 , 02-Дек-11, (91) // зачем не понимаю, выключить авторизацию по паролю и все, reaper (??), 11:48 , 02-Дек-11, (97) А какая глобальная разница Нет, конечно от пароля 777 на руте это спасет, но ес, Аноним (-), 16:54 , 02-Дек-11, (130) Это не так Как раз доступ руту надо явно разрешать Что, видимо, и было сделано, Кирилл (??), 19:37 , 02-Дек-11, (138) Нормальные оси имеют это из коробки , kshetragia (ok), 09:46 , 05-Дек-11, (157) Так как данные были очищены через простое удаление файлов без обнуления областе, Frank (ok), 22:05 , 01-Дек-11, (52) +3 // И тут же после этого By bruteforce scanning the slack unused space in the 82, Frank (ok), 22:08 , 01-Дек-11, (53) +2 // Да уж касперцы снова открыли Америку , скорее нехорошие ребята пользовались r, Евгений (??), 23:06 , 01-Дек-11, (63) +1 // Ну как бы сами же касперцы и намекают на это когда анализируют bash_history , Ytch (?), 01:15 , 02-Дек-11, (78) +1 Не сработал простой метод, попробовали другой и нашли данные, что не так , Аноним (-), 22:36 , 01-Дек-11, (55) Вот что то я не понял Какой смысл в этой новости Больше на какие то сплетни по, chelovek (?), 22:42 , 01-Дек-11, (56) +2 // Ага подбирал пароли не скриптом, а вручную, пописал и сразу правильный пароль по, Аноним (-), 22:54 , 01-Дек-11, (57) // Ну а почему нет Вот у меня бывает умные идеи или в толчке или на курилке приход, chelovek (?), 22:57 , 01-Дек-11, (58) Это период цикла работы брутфорс скрипта Вот к нам тоже, каждый день, аккурат с, pavlinux (ok), 23:00 , 01-Дек-11, (60) +2 // А потом скрипт ума набирается и с первой попытки сразу рутом входит - , Аноним (-), 23:10 , 01-Дек-11, (64) // Ну вообще-то авторизация только по ключам и рута низя Да и вообще, уже перенёс , pavlinux (ok), 23:12 , 01-Дек-11, (65) +1 Такая же фигня Я вот думаю создать, что ли, пару из этих файлов, да написать та, Ytch (?), 00:25 , 02-Дек-11, (73) +4 180 0 0 0 2 можно смело банить 13x 0 0 0, 6x 0 0 0 , 3x 0 0 0 - самые ботнетц, pavlinux (ok), 00:49 , 02-Дек-11, (74) Тогда уж советую -A INPUT -m geoip --source-country A1,AD,AE,AF,AG,AI,AO,AP,AQ,A, un4me (??), 11:46 , 06-Дек-11, (159) зачОтно , ФФ (ok), 10:11 , 02-Дек-11, (92) Эта идея существует уже давно и называется honeypot Настоящие исследователи в о, Аноним (-), 14:37 , 02-Дек-11, (110) +1 Если хост не сильно критичный к нагрузкам то весьма забавно на некоторое время в, stamnik (ok), 00:58 , 02-Дек-11, (76) +1 По-моему, эту штуку удалили из ядра лет пять назад, как минимум , Аноним (-), 14:40 , 02-Дек-11, (111) Оригинал гласит да и по логам в оригинале видно Не было никакого перерыва Вхо, Ytch (?), 01:49 , 02-Дек-11, (82) +1 // Перерыв был, но не 8, а 3 минуты по скриншоты лога отлично видно, что последня, Аноним (-), 10:33 , 02-Дек-11, (96) Злоумышленники обновили OpenSSH до 5 версии, это самое интересное Это наверное,, Аноним (-), 22:59 , 01-Дек-11, (59) // Долгое время это была RedHat для бедных, все работало как часы Но со времен ког, anonymous (??), 01:56 , 02-Дек-11, (83) Всё просто Алгоритм взлома 1 Используется скрипт, который ищет в сети серверы , Аноним (-), 23:14 , 01-Дек-11, (67) // Если читал внимательно, то рута получили обычным бутфорсом , pavlinux (ok), 23:28 , 01-Дек-11, (68) +1 // Это вам так кажется - Вначале разведку провели, а уже потом тяжелая артиллерия, Аноним (-), 23:37 , 01-Дек-11, (71) +1 // Мне не кажется, читаю то, что пишут В качестве наиболее вероятного способа прон, pavlinux (ok), 00:21 , 02-Дек-11, (72) перебор за 8 минут у меня что-то на это очень много времени уходило, скорее вс, Xing (?), 08:48 , 02-Дек-11, (90) У меня обычно стоит fail2ban который при 3х неудачных попыток подбора добавляет , Аноним (-), 17:47 , 26-Дек-11, (168) Дйля беспарольного доступа ssh использует, в основном, две крипто системы -- rsa, adolfus (ok), 01:02 , 02-Дек-11, (77) +1 ИМХО, хакеры не хотели, чтобы кто-то переимел систему за счёт какой-то незакры, PereresusNeVlezaetBuggy (ok), 01:32 , 02-Дек-11, (79) // А банальный firewall когда успели отменить и не тебе брутфорс, и не тебе не, StaS (??), 13:33 , 02-Дек-11, (99) // Фаервол не спасёт от медленного перебора Судя по времени подбора, там банально , PereresusNeVlezaetBuggy (ok), 14:46 , 02-Дек-11, (112) Вы о чём, уважаемый И что вы подразумеваете под банальный firewall Настолько, Кирилл (??), 14:59 , 02-Дек-11, (117) // на столько банальный что не светит на весь мир ssh порт, что сводит к минимуму б, StaS (??), 19:57 , 02-Дек-11, (144) А вот это в 99 случаев - глупость Ибо лишает самого админа возможности операти, PereresusNeVlezaetBuggy (ok), 20:01 , 02-Дек-11, (146) Не, надо так После того как стало понятно, что это попытки взлома, перенаправлят, vi (?), 14:40 , 03-Дек-11, (150) Этот прорыв в математике совершили еще до 21 века советские ученые Кроме того, , wildhawk (?), 13:28 , 04-Дек-11, (156) // дайте ссылку пожалуйста , anonymous (??), 12:50 , 05-Дек-11, (158) Там в bash_history прикольный команды, особенно улыбнуло iptables -F, а если по, Аноним (-), 16:59 , 03-Дек-11, (154) Брутфорс мозга верить в непроверенные гипотезы каспера призрака шалунишку , кото, Аноним (-), 17:39 , 26-Дек-11, (167) 3,8,24,37,38,47,48,49,50,52,56,59,67,77,79,154,167

Сообщения

[Сортировка по времени | RSS]

8. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+2 +/–
Сообщение от Анонище (?), 01-Дек-11, 16:43
Куда интереснее -каким макаром произошло проникновение.  А что, что ПО меняли, так и ладно, не в музей же попали.
Ответить | Правка | Наверх | Cообщить модератору

	12. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 01-Дек-11, 16:51
	> Куда интереснее -каким макаром произошло проникновение.  А что, что ПО меняли, > так и ладно, не в музей же попали. Journal там пока что не внедрили, так что без шансов.
	Ответить | Правка | Наверх | Cообщить модератору

	15. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 01-Дек-11, 16:59
	>> Куда интереснее -каким макаром произошло проникновение.  А что, что ПО меняли, >> так и ладно, не в музей же попали. > Journal там пока что не внедрили, так что без шансов. А что бы это изменило?
	Ответить | Правка | Наверх | Cообщить модератору

	33. "Разбор последствий взлома Linux-хостов выявил странную актив..."	–2 +/–
	Сообщение от Аноним (-), 01-Дек-11, 18:20
	Никто бы даже не узнал о взломе, очевидно.
	Ответить | Правка | Наверх | Cообщить модератору

	101. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 02-Дек-11, 14:15
	> Никто бы даже не узнал о взломе, очевидно. Да, на системах с syslog о взломе можно узнать только если повезет.
	Ответить | Правка | Наверх | Cообщить модератору

	113. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Кирилл (??), 02-Дек-11, 14:48
	Удалённая регистрация событий + вывод всех событий авторизации на старый добрый матричный принтер с рулоном бумаги.
	Ответить | Правка | Наверх | Cообщить модератору

	119. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 02-Дек-11, 15:59
	> Удалённая регистрация событий + вывод всех событий авторизации на старый добрый матричный > принтер с рулоном бумаги. Получится такой аналог Journal в стиле прошлого века. P.S. Кстати, тут пробегала инфа, что хакеры научились удаленно поджигать принтеры, гоняя их в некорректных режимах =)
	Ответить | Правка | Наверх | Cообщить модератору

	139. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Кирилл (??), 02-Дек-11, 19:41
	> Получится такой аналог Journal в стиле прошлого века. Почему прошлого? У меня так на всех шлюзах. Регистрация всех важных событий локально на шлюзах идут на быстрые рулонные матричники. На практике оказалось очень полезно.
	Ответить | Правка | Наверх | Cообщить модератору

	151. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 03-Дек-11, 16:26
	> Почему прошлого? У меня так на всех шлюзах. Регистрация всех важных событий локально на шлюзах идут на быстрые рулонные матричники. На практике оказалось очень полезно. До тех пор, пока хакеры не начнут их поджигать.
	Ответить | Правка | Наверх | Cообщить модератору

	165. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от аноним1 (?), 09-Дек-11, 22:40
	сколько нарушителей и за сколько лет поймали, если не секрет?
	Ответить | Правка | К родителю #139 | Наверх | Cообщить модератору

	126. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 02-Дек-11, 16:49
	> принтер с рулоном бумаги. Прочиталось как с рулоном туалетной бумаги, извините :)
	Ответить | Правка | К родителю #113 | Наверх | Cообщить модератору

	141. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Кирилл (??), 02-Дек-11, 19:45
	> Прочиталось как с рулоном туалетной бумаги, извините :) Туалетную утащат )))
	Ответить | Правка | Наверх | Cообщить модератору

	102. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 02-Дек-11, 14:18
	> А что бы это изменило? Был бы более-менее доверительный механизм удаленного логгирования, с авторизацией и шифрованием. Впрочем, настоящие ценители syslog и необновленных центосов, как правило, презирают удаленное логгирование (неудивительно, с такой-то реализацией, как в syslog).
	Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

	115. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Кирилл (??), 02-Дек-11, 14:52
	> Был бы более-менее доверительный механизм удаленного логгирования, с авторизацией и шифрованием. Он есть. И rsyslog и syslog-ng имеют возможность передачи по SSL и проверкой хэша.
	Ответить | Правка | Наверх | Cообщить модератору

	118. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 02-Дек-11, 15:58
	> Он есть. И rsyslog и syslog-ng имеют возможность передачи по SSL и проверкой хэша. Но логам-то все равно нельзя верить. Как справедливо заметил Поттеринг, любой троянец может назваться Апачом и писать в лог от его имени.
	Ответить | Правка | Наверх | Cообщить модератору

	120. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 02-Дек-11, 16:04
	>> Он есть. И rsyslog и syslog-ng имеют возможность передачи по SSL и проверкой хэша. > Но логам-то все равно нельзя верить. Как справедливо заметил Поттеринг, любой троянец > может назваться Апачом и писать в лог от его имени. А вот помешать Апачу писать в лог от своего имени ему заметно сложнее. :)
	Ответить | Правка | Наверх | Cообщить модератору

	122. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 02-Дек-11, 16:12
	> А вот помешать Апачу писать в лог от своего имени ему заметно сложнее. :) Да и незачем. Смысл записи во много определяется ее контекстом. А нужный контекст обеспечить - не проблема.
	Ответить | Правка | Наверх | Cообщить модератору

	123. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 02-Дек-11, 16:14
	>> А вот помешать Апачу писать в лог от своего имени ему заметно сложнее. :) > Да и незачем. Смысл записи во много определяется ее контекстом. А нужный > контекст обеспечить - не проблема. В плане? Запись из error_log, указывающая на попытку взлома, чем только ни дополняй, никуда не денется. В том числе, от анализатора логов.
	Ответить | Правка | Наверх | Cообщить модератору

	127. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 02-Дек-11, 16:50
	> дополняй, никуда не денется. В том числе, от анализатора логов. А что помешает хакеру убрать ее втихарика без палева?
	Ответить | Правка | Наверх | Cообщить модератору

	136. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 02-Дек-11, 19:10
	>> дополняй, никуда не денется. В том числе, от анализатора логов. > А что помешает хакеру убрать ее втихарика без палева? Отсутствие прав (если ещё не рут, а только пытаеццо).
	Ответить | Правка | Наверх | Cообщить модератору

	143. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 02-Дек-11, 19:55
	> Отсутствие прав (если ещё не рут, а только пытаеццо). Ну так если успешно попытается - права будут. У поттеринга он может разве что целиком все грохнуть, но настолько эпичная диверсия является вопиющим признаком что на машине хакер. В случае обычных логов можно втихушку вытерить записи о себе любимом и все, комар носа не подточит. Кроме разве что случая когда есть ремотный сервер, на который впрочем просто так тоже никто не полезет сравнивать лог с локальным.
	Ответить | Правка | Наверх | Cообщить модератору

	145. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 02-Дек-11, 19:59
	>> Отсутствие прав (если ещё не рут, а только пытаеццо). > Ну так если успешно попытается - права будут. Вот пока он будет пытаться, его и засекут. Если за машиной будут следить только полтора землекопа, и те исключительно вручную (обычно это означает раз в неделю залогиниться и глянуть top), то понятно, можно много чего пропустить. И я молчу про то, что тот же syslog надо по-хорошему на другую машину отправлять. Которую... ну, пусть пробуют, ломают, если у неё кроме приёмника логов и SSH ничего нет. :)
	Ответить | Правка | Наверх | Cообщить модератору

	161. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 09-Дек-11, 12:40
	> Вот пока он будет пытаться, его и засекут. Или не засекут, в зависимости от мастерства хакера и админа. > Если за машиной будут следить только полтора землекопа, и те исключительно > вручную (обычно это означает раз в неделю залогиниться и глянуть top), > то понятно, можно много чего пропустить. Ну, можно посадить десяток китайцев самолично пакеты раскидывать, но их кормить надо и скорость в PPS'ах так себе :) > И я молчу про то, что тот же syslog надо по-хорошему на > другую машину отправлять. Которую... ну, пусть пробуют, ломают, если у неё > кроме приёмника логов и SSH ничего нет. :) Ага, только мутная активность в ssh может означать и какой-то race condition в этом самом ssh. Тогда вполне себе поломают.
	Ответить | Правка | К родителю #145 | Наверх | Cообщить модератору

	163. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 09-Дек-11, 16:03
	> Ага, только мутная активность в ssh может означать и какой-то race condition > в этом самом ssh. Тогда вполне себе поломают. Эта возможность была озвучена, так как она возможно, но не слишком вероятна. А вот на подбор ламерского пароля как раз похоже. :) Хотя, конечно, зарекаться никогда нельзя.
	Ответить | Правка | К родителю #161 | Наверх | Cообщить модератору

	133. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 02-Дек-11, 18:31
	> В плане? Запись из error_log, указывающая на попытку взлома, чем только ни дополняй, никуда не денется. В том числе, от анализатора логов. А зачем ее куда-то девать? Достаточно накидать туда еще пару сотен тысяч таких же записей с разными айпишниками и разными путями, и все, хрен кто что поймет.
	Ответить | Правка | К родителю #123 | Наверх | Cообщить модератору

	137. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 02-Дек-11, 19:11
	>> В плане? Запись из error_log, указывающая на попытку взлома, чем только ни дополняй, никуда не денется. В том числе, от анализатора логов. > А зачем ее куда-то девать? Достаточно накидать туда еще пару сотен тысяч > таких же записей с разными айпишниками и разными путями, и все, > хрен кто что поймет. Ещё раз: "... от анализатора логов". Которому пофиг на остальной мусор, хоть из /dev/zero заполните всё остальное: анализатор реагирует на конкретные паттерны.
	Ответить | Правка | Наверх | Cообщить модератору

	152. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 03-Дек-11, 16:29
	> Ещё раз: "... от анализатора логов". Которому пофиг на остальной мусор, хоть > из /dev/zero заполните всё остальное: анализатор реагирует на конкретные паттерны. Еще раз: лог заполняется не мусором, а вполне определенными записями, соответствующими тем самым паттернам. В результате даже на выходе анализатора логов будет огромная куча ложной информации, неотличимой от единичных истинных записей.
	Ответить | Правка | Наверх | Cообщить модератору

	155. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 03-Дек-11, 21:29
	>> Ещё раз: "... от анализатора логов". Которому пофиг на остальной мусор, хоть >> из /dev/zero заполните всё остальное: анализатор реагирует на конкретные паттерны. > Еще раз: лог заполняется не мусором, а вполне определенными записями, соответствующими > тем самым паттернам. В результате даже на выходе анализатора логов будет > огромная куча ложной информации, неотличимой от единичных истинных записей. И как вы собираетесь подделывать логи? Вот вам access-лог Apache. Имеем отметку времени, IP-адрес, GET-запрос, UA, ну и что там админу ещё захочется видеть. Как вы забьёте ложной информацией первые записи, которые могут послужить индикатором проникновения, если они появляются в журнале по определению ДО того, как вы получите возможность что-то сделать? Будете заранее загаживать логи с других IP-адресов? - это всего лишь покажет: а) что атака была по факту начата раньше; б) что в access-логах действительно есть что-то ценное, и уж тогда они будут проанализированы куда пристальнее. Повторюсь, от анализатора логов это НЕ СПАСЁТ. Ну а если у вас есть возможность непосредственно изменять логи, то это уже совсем другой разговор.
	Ответить | Правка | Наверх | Cообщить модератору

	162. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 09-Дек-11, 12:42
	> Ещё раз: "... от анализатора логов". Которому пофиг на остальной мусор, Так надо сделать чтобы не пофиг было :). Кидаем еще 100500 записей в таком же духе. Админ худеет от необходимости анализировать 100500 инцедентов с разных айпи, отличая где там фэйк а где правда :)
	Ответить | Правка | К родителю #137 | Наверх | Cообщить модератору

	164. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 09-Дек-11, 16:05
	>> Ещё раз: "... от анализатора логов". Которому пофиг на остальной мусор, > Так надо сделать чтобы не пофиг было :). Кидаем еще 100500 записей > в таком же духе. Админ худеет от необходимости анализировать 100500 инцедентов > с разных айпи, отличая где там фэйк а где правда :) В таком случае фэйковые логи по определению будут идти _после_ "реальных". Этого вполне достаточно, чтобы выделить истинных виновников. Может быть fail только если ротация с удалением старых логов происходит по размеру файлов, но тут уж извините, мешать стрелять себе в ногу никто запретить не может. :)
	Ответить | Правка | Наверх | Cообщить модератору

	140. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Кирилл (??), 02-Дек-11, 19:43
	> Но логам-то все равно нельзя верить. Как справедливо заметил Поттеринг, любой троянец > может назваться Апачом и писать в лог от его имени. Причём тут верить или не верить. Главное зарегистрировать хронологию событий. Очень сложно произвести даже попытку взлома без явных вопиющих следов, оставленных ещё до вторжения.
	Ответить | Правка | К родителю #118 | Наверх | Cообщить модератору

	153. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 03-Дек-11, 16:31
	> Главное зарегистрировать хронологию событий ... которых не было. Любой бот может завалить лог гигабайтными потоками "какбэ событий", в которых реальные факты просто утонут.
	Ответить | Правка | Наверх | Cообщить модератору

	166. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от аноним1 (?), 09-Дек-11, 22:44
	> Journal там пока что не внедрили, так что без шансов. что за Journal, простите??
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема