LINUX.ORG.RU
ФорумAdmin

Спрятать или замаскировать процесс


0

0

Здравствуйте. Такая вот задача. Сделал маленький мониторинг файловой системы. Хочется знать какие файлы редактировались, что открывалось итд. Вот маленький пример. Скрипт пишет логи если была активность в /etc/network.

#!/bin/sh while inotifywait -r -e modify -e close -e open -e close_write -e close_nowrite /etc/network >> /var/log/inotifywait; do a=exit done

Все хорошо, но естественно он виден в ps, top и htop. Хочется как-то его сделать менее заметным для глаз. Посоветуйте пожалуйста как это лучше сделать.

Спасибо.

Ответ на: комментарий от anton_jugatsu

Мне нужен именно этот скрипт. Zabbix мне не подходит.

palladium
() автор топика

Если нужен не сам скрипт, а именно мониторинг за ФС, и чтоб пользователи не знали, что именно мониторится - auditd

router ★★★★★
()
Ответ на: комментарий от router

И так же можно переделать скрипт, чтобы читал конфиг из файла. В ps будет сам скрипт, но не информация о наблюдаемых объектах.

Если ты админ, этого достаточно (можно переименовать скрипт и закосить под системные демоны). Если крякер - думай сам

router ★★★★★
()
Ответ на: комментарий от router

Не пойму как сделать чтоб он читал конфиг из файла. То что я думал, не то, все равно видно в ps.

palladium
() автор топика

скорее всего нужно настроить мандатный контроль доступа и запретить видеть пользователям то, что они видеть не должны. А пытаться следить за всеми у кого есть права рута, это как-то странно... может не давать права рута тому, кому не доверяешь?

dimon555 ★★★★★
()

>он виден в ps, top и htop

Дык запрети запускать ps, top и htop юзверям, делов то, опять в етсаде ДОД

anonymous
()

зачем прятать процесс от пользователя?
так делают руткиты, можете сами и посмотреть как они это прячут процессы из вывода ps,top, /proc

Sylvia ★★★★★
()
Ответ на: комментарий от power

А еще посмотри в сторону selinux.
Я правильно понял, что у тебя возникла ситуация, когда на сервере несколько пользователей имеют рутовые права?
В любом случае, похоже что ты неправильно ставишь задачу и городишь костыли.

power
()
Ответ на: комментарий от power

Дело не в доверии или не доверии к пользователям. Есть разные случаи когда нужно знать что менялось или редактировалось на сервере. Не имеет значения это пользователь легитимный или нет. Спрятать зачем? Ну к примеру если сервер был взломан. Я думаю посторонний обязательно посмотрит на список процессов и увидит то, что должно помочь в раскрытии его присутствия. В общем есть много вариантов зачем это может понадобиться.

palladium
() автор топика
Ответ на: комментарий от c-xp

Syslog сервер конечно же нужно поднять на другой машине в локальной сети.
Да и не только ios а любую систему где есть syslog можно так настроить.

c-xp
()

Во FreeBSD это можно через:

# sysctl security.bsd.see_other_uids=0

ansi ★★★★
()
Ответ на: комментарий от Komintern

Народ!!! Вы читали мой вопрос? Не нужно ничего отправлять. Просто от любых глаз нужно было спрятать процесс и все!

palladium
() автор топика
Ответ на: комментарий от palladium

Это не канает без переписывания top/ps/whatever или применения ядерных патчей (процессы одного пользователя не видны другим).

</thread>

GotF ★★★★★
()
Ответ на: комментарий от GotF

P.S.: тут выше ещё говорилось о руткитах — самый простой вариант, наверно.

GotF ★★★★★
()
Ответ на: комментарий от palladium

Да, а руткиты пишут на С обычно.
На мякине не проведете, linux еще не настолько дыряв.)

elipse ★★★
()
Ответ на: комментарий от elipse

нет, я всё-таки подло вру, gamin как раз установлен.
но gam_server не запущен.

в gentoo обходился вообще без них.

Deleted
()
Ответ на: комментарий от INFOMAN

Ну как вариант уже , да.
Хотя, проще обеспечивать внешную безопастность сервера чем внутренних его процессов после взлома , так как появляется много «если» и «но».

elipse ★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.