sslug-teknik team mailing list archive

[Peter Makholm <peter@xxxxxxxxxxx>]

Mogens Valentin <monz@xxxxxxxxx> writes:

>> Tripwire, signerer sin database for at undgå dette, men jeg mener bestemt
>> der findes rootkits, der fikser dette ved at ændre på tripwire-binarien.
>
> Så lægger man sine IDS systemer med conf og databaser på cdrom =
> readonly.

Du har stadig probleme med at indtrængerene kan erstatte det cronjob
der udfører tripwire. Jeg tror den eneste måde som en indtrængende
ikke kan omgå er hvis man jævnligt hiver maskinen helt ned, booter fra
en live-CD (eller ligende) og tjekker systemet derfra. Derefter hiver
man systemet op i normal tilstand igen.

-- 
 Peter Makholm     |              I have no caps-lock but I must scream...
 peter@xxxxxxxxxxx |                                               -- Greg
 http://hacking.dk |