rootkitによるハッキングとその防御
第3回　rootkit検出ツールによる検査 (1/6)

これまではrootkitの概要について実例を出して説明してきたが、今回はrootkitの検出ツールを利用して、rootkitのインストールされたシステムから、rootkitを洗い出す作業を行ってみよう。

　「chkrootkit」は名前からも憶測できるように、システムにrootkitが組み込まれていないかを検査してくれるツールだ。比較的有名なツールであるため、すでに導入されている方もいるだろう。

　chkrootkitは、rootkitおよびワームの検出の以外にも、ネットワークインターフェースがプロミスキャスモードになっていないか、ログファイルlastlog/wtmpは改ざんされていないか、隠蔽されているプロセスはないか、といった項目をチェックすることができる。

　原稿執筆段階での最新バージョンは「chkrootkit 0.39a」だが、このバージョンで検出できるとされるrootkitやワームには表1のものがある。なお、chkrootkitは検査のみを行うツールであり、修復を行ってくれるツールではないことに注意したい。

　chkrootkitのインストールは非常に簡単である。chkrootkitのtarballをダウンロードし解凍を行った後に、chkrootkitディレクトリにてコンパイルを行うだけで完了する。コンパイルが完了すると、同ディレクトリに、chkprocやchklastlogなど、いくつかの実行ファイルができているだろう。

$ ls
ACKNOWLEDGMENTS    check_wtmpx        chkproc            ifpromisc
COPYRIGHT          check_wtmpx.c      chkproc.c          ifpromisc.c
Makefile           chkdirs            chkrootkit         strings
README             chkdirs.c          chkrootkit.lsm     strings.c
README.chklastlog  chklastlog         chkwtmp
README.chkwtmp     chklastlog.c       chkwtmp.c

　chkrootkitによるシステムの検査は、chkrootkitディレクトリで単純に「./chkrootkit」とすれば検査が開始される。

　しかし、すでにシステムにrootkitが組み込まれていて、コマンド自体が改ざんされている可能性がある場合には、chkrootkitの検査を行う際に、chkrootkitが利用するコマンド類も、改ざんされているものが利用されることになる。こういった自体を考慮して、chkrootkitではコマンドオプション「-p」で、CD-ROMやフロッピーディスクなどのメディアなどに用意した、安全なコマンド群を使用した検査を行うことができる。疑わしい場合にはこのオプションを指定して検査しよう。chkrootkitが利用するコマンド群をフロッピーディスクやCD-ROMに用意しておき、検査時にマウントしてパスを指定すればよい。

　　　　　 | 1 2 3 4 5 6 | 次のページ

[TTS，ITmedia]