LINUX.ORG.RU
решено Форум — Security  

Как максимально скрыть свои действия в системе?

 


1

2

Имеется в виду не на чужой взломанной машине, а на своей. Чтобы в случае (взлома) попадания компа в плохие руки, на нем не было ничего.

Где остаются следы, помимо всего, что в /var/log? Интересуют логины тех, кто подключался локально, логины и ip, с которых подключались по ssh, команды, вводившиеся в консоли и т.п.

И как все это вычистить?

★★★★

Любой может узнать локальные логины сделав лишь ls /home/, если не указана иная директория для пользователей.

Quadmonster ★
()
Последнее исправление: Quadmonster (всего исправлений: 1)
Ответ на: комментарий от Quadmonster

Любой может узнать локальные логины сделав лишь ls /home/

А где пишется кто и в какое время логинился?

afanasiy ★★★★
() автор топика

Шифрование рута и данных, SquashFS и стирание любых изменений после ребута (т.к., они будут в ОЗУ), запуск потенциально уязвимых приложений в виртуалке (браузер, IM) + sshfs. Отключение логов отдельных сервисов или вообще, или же дропание определенных логов самим логгером (или наоборот, ведение фильтра для белого списка логов, остальные дропать).

И как все это вычистить?

Когда именно ты хочешь чистить?

Chaser_Andrey ★★★★★
()
Ответ на: комментарий от Quadmonster

На самом компе ничего важного не хранится, в /home у юзеров пусто. Интересует только сделать так, чтобы постороннему было не понятно кто и чем на этом компе занимался.

afanasiy ★★★★
() автор топика
Ответ на: комментарий от Chaser_Andrey

Предлагаемые вами действия слишком глобальны для моей скромной задачи. Из пушки по воробьям.

Когда именно ты хочешь чистить?

Хочу чистить все следы деятельности пользователей в системе, чем чаще, тем лучше. Скорее всего скриптом в кроне, но только хочу знать, что именно и как вычищать.

afanasiy ★★★★
() автор топика 
Common Linux log files name and usage

/var/log/message: General message and system related stuff
/var/log/auth.log: Authenication logs
/var/log/kern.log: Kernel logs
/var/log/cron.log: Crond logs (cron job)
/var/log/maillog: Mail server logs
/var/log/qmail/ : Qmail log directory (more files inside this directory)
/var/log/httpd/: Apache access and error logs directory
/var/log/lighttpd: Lighttpd access and error logs directory
/var/log/boot.log : System boot log
/var/log/mysqld.log: MySQL database server log file
/var/log/secure: Authentication log
/var/log/utmp or /var/log/wtmp : Login records file
/var/log/yum.log: Yum log files
Quadmonster ★
()

Не работать на комьютере - никаких следов. =)

ArturK ★
()
Ответ на: комментарий от afanasiy

Лучше их не оставлять. Настрой логгер под свои нужды, убери логи того ПО, которое пишет в /var/log обход логгера и логи могут содержать какую-то приватную инфу.

А далее... просто так на лету чистить сложно, многие программы будут вести себя неадекватно, если во время их работы дропнуть данные из /tmp или /var/tmp, а также из хомяка. А без удаления этих данных в любой момент после взлома система будет содержать компромат, который злоумышленник может получить в следующую секунду. Или ты надеешься, что он полезет ручками исследовать систему без попытки скриптами слить важные данные сразу же?

Chaser_Andrey ★★★★★
()

Используй LiveUSB и шифруй свое файло в криптованный контейнер.

bubblecore ★★★★
()
10 июля 2013 г.
Ответ на: комментарий от afanasiy

я правильно понял?

не надо так делать. Вообще не нужно скрывать логи. Просто проверь, что туда ничего личного не пишется (по дефолту вроде нигде не пишется).

А для защиты — шифруй /home. Можно для удобства держать ключ на флешке.

Ну если уж совсем плохо с головой, можешь смонтировать /var/log в память (не забудь своп отключить/зашифровать). По идее можно туда и весь /var/ отправить, хотя это неудобно (ВСЕ очереди/системные кеши придётся каждый раз с нуля создавать).

drBatty ★★
()
Ответ на: комментарий от Chaser_Andrey

Не понял, что не так.

ну выполни chmod -x /home

и всё поймёшь под любым пользователем кроме рута. Как осознаешь добавь право использования(исполнения, как ты говоришь) обратно +x.

А листинг — это чтение. Его снимать можно (на /home), ничего не изменится. Да и смысла в этом нет.

drBatty ★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Security