Como saber se houve uma invasão

Este artigo aborda alguns conceitos que são importantes para o conhecimento do administrador de sistemas quando este precisa detectar se houve uma invasão em seu sistema.

[ Hits: 91.930 ]

Por: Luiz Antonio da Silva Junior em 09/11/2003


Introdução



Uma das principais formas deixar sua máquina protegida é saber quando ela foi invadida. Quanto menos tempo o invasor permanecer conectado à sua máquina, menos tempo ele terá para operá-la e você terá mais chances de expulsá-lo e reparar os danos.

Quanto mais sofisticado for o invasor, menor será sua probabilidade de descobrir o quanto sua máquina foi comprometida. Os mais habilidosos provavelmente encobrirão suas trilhas, o que tornará mais difícil você perceber se executaram alguma alteração e podem ocultar o fato de que estão em sua máquina mesmo quando você estiver procurando rastros.

Ocultando conexões abertas, processos, acesso a arquivos e o uso de recursos do sistema, os invasores podem se esconder ao ponto de parecerem invisíveis no sistema. Se tiverem acesso ao root, poderão executar quase qualquer operação que desejarem em nível do kernel para ocultar sua presença.

    Próxima página

Páginas do artigo
   1. Introdução
   2. Utilização inexplicável da CPU
   3. Usuários locais tiveram as contas violadas
   4. Execução de processos estranhos
   5. O ambiente "parece estranho"
   6. Novos usuários em seu sistema
Outros artigos deste autor

Os Vírus e o Linux

Analisando arquivos de registro (log)

O movimento do código aberto

Configurando TomCat

Canal #Vivaolinux com bot interativo

Leitura recomendada

Configurando um servidor de logs simples

Recon and Scan with Metasploit

VPN com openVPN no Slackware 11

Netcat - O canivete suíco do TCP/IP

CouchDB - For Fun and Profit

  
Comentários
[1] Comentário enviado por jeffestanislau em 10/11/2003 - 10:02h

Ae, esperava mais ao ler o título...

se puder complementar com uma ferramenta que monitora o acesso externo, seria muito bem vindo!

[2] Comentário enviado por removido em 10/11/2003 - 19:44h

Caro amigo Juniox ... achei mui interessante seu artigo, porém gostaria de adicionar .. algo ... pena q eu ainda naum sei como ... porém se eu explicar vc vai entender com certeza:
- Vc poderia montar alguns scripts justamente para auxuliar em buscas de invasores nos processos.
- Mostrar alguns truques para expulsar o invásor
- Mostrar como detectar processos que naum estão instalados

Minhas idéias são essas ..obrigadoooo !!!

[3] Comentário enviado por Paulo Zambon em 11/11/2003 - 22:04h

JuNiOx,

Lendo o título "Como saber se houve uma invasão" fiquei muito interessado. Pena que a resposta não foi dada.

[4] Comentário enviado por Lord Icarus em 13/12/2003 - 15:54h

Algumas observações.....

1 - Pra alguem que se diz hacker de verdade, invadir computadores de outras pessoa, é algo totalmente inutil...pois, não se explora nenhum vulnerabilidade, muito menos a capacidade de entender como funciona umalinguagem ou algo assim..

2 - No momento atual, existem varios tipos de programas (xpl, scans, comanders etc - chamem como quiserem), que são utilizados para esconderem o suposto 'invasor', oque torna dificl uma pessoa comum, saber que esta sendo inavdida...e muitas vzs o proprio servidor não desconfia...

3 - um usuario comum, com certeza, não sabera que ha alguem dentro de sua maquina, ao menos, quando ela estiver formatada, ou com mensagens aparecendo..., e programas distribuidos por revistas, site setc, geralmente, não identificam a eficacia de um verddeiro hacker

resumindo...se sistemas são vulneraveis, e muitas vzs, grandes sistemas, não conseguem barrar a presença de invasores, usuarios comuns então, jamais saberão que estão sendo observados, digamos assim...

um verdadeiro hacker, naum perde tempo com usuarios comuns, donos de banco de dados com MP3...

a ideia foi boa...gostei...mas faltou, na minha opnião, mais qualidade..

abraços

[5] Comentário enviado por JuNiOx em 13/12/2003 - 16:47h

lord icarus

denovo?? você é bobo ??

[6] Comentário enviado por curio em 18/02/2004 - 09:16h

Quando li o título cheguei até a pensar que obteria respostas para o meu problema.... Decepcionante

[7] Comentário enviado por JuNiOx em 18/02/2004 - 15:51h

não se pode agradar a todos...

achou que ia encontrar oque aqui e que não encontrou?

qual o seu problema?

[8] Comentário enviado por y2h4ck em 05/03/2004 - 10:18h

Bom ... creio que o artigo ficaria melhor se vc demonstrasse isso tecnicamente e nao com suposicoes. []´s :)

[9] Comentário enviado por mafioso em 09/04/2004 - 00:33h

Mais uma parte com uma boa explicação de monitoramento de logs ia ser muito util para completar o artigo. Usuários comuns, inexperientes e com conhecimentos apenas básicos devem sempre lembrar uma coisa ao utilizar o linux: Você está bem mais vulnerável do que se estivesse no windows, e ser invadido ou não é apenas questão de sorte. Há centenas de receitinhas de bolo ensinando como explorar uma vulnerabilidade daquele servidorzinho que você nem sabe que está rodando na sua máquina...

[10] Comentário enviado por elivanrr em 22/04/2004 - 01:33h

Bom, acho que para resolver a insastifacao dos que já estao nivel de acima conhecimanto acima do que falado no artigo no momento da postagem de qualquer assunto deveriamos classificar os niveis por exemplo: Nivel iniciante
Nivel medio
Nivel avancado

Independente de qualquer coisa, parabenizo qualquer um que publique o que de mais valor em nosso mundo O CONHECIMENTO.

[11] Comentário enviado por piumhi10 em 16/05/2005 - 23:02h

concordo com durfus com relação ao nao comentar algumas linha ou uma explcação mais aprofundada sem querer ofender mas sei que nada vem de graça... viva engenharia reversa...........-_-grato

[12] Comentário enviado por Thiago Madella em 07/08/2008 - 08:40h

Bons artigos, excelentes artigos.

[13] Comentário enviado por TigonesBuell em 04/09/2008 - 15:08h

Pqp.....que artigo mais fdp em cara!!!...Ate um usuario de calculadora sabe dessas tandices....

E naum reclame do meu comentario.....

[14] Comentário enviado por snanon em 30/11/2008 - 04:00h

Como descrito no titulo, "Este artigo aborda alguns conceitos que são importantes para o conhecimento do administrador de sistemas quando este precisa detectar se houve uma invasão em seu sistema."

se tivessem lido o enunciado com atenção evitariam escrever algumas bobagens;

Com certeza, todas as sujestões de vocês podem ser pesquisadas em outras partes desse site.

[15] Comentário enviado por Luan Techio em 06/08/2009 - 16:48h

Muito massa o tutoria...
Simples mais explica bem tudo...


Contribuir com comentário




Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner

Destaques

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts