View source for Rkhunter

sumber: https://www.digitalocean.com/community/tutorials/how-to-use-rkhunter-to-guard-against-rootkits-on-an-ubuntu-vps

==Intro==

Salah satu perhatian potensial adalah rootkit. Rootkit adalah perangkat lunak yang diam-diam diinstal oleh penyusup jahat yang memungkinkan pengguna tersebut melanjutkan akses ke server setelah keamanan dilanggar. Ini adalah masalah yang sangat berbahaya, karena bahkan setelah masuknya vektor yang pengguna awalnya gunakan untuk mendapatkan akses adalah tetap, mereka dapat terus masuk ke server menggunakan rootkit yang mereka pasang.

Salah satu alat yang bisa membantu anda melindungi sistem anda dari masalah seperti ini adalah rkhunter. Perangkat lunak ini memeriksa sistem anda terhadap database rootkit yang diketahui. Selain itu, ia dapat memeriksa file sistem lain untuk memastikannya sesuai dengan properti dan nilai yang diharapkan.

==Compile RKHunter==

Instal aplikasi pendukung

 sudo locale-gen id_ID.UTF-8
 sudo apt-get update
 sudo apt-get -y install binutils libreadline5 libruby ruby ssl-cert unhide.rb mailutils

Masukan
* Site localhost
* Relay Site kalau pakai INDIHOME : smtp.telkom.net

Cek versi terakhir rkhunter di www.sf.net, saat rkhunter di coba versinya adalah 1.4.2

 cd /usr/local/src
 wget http://downloads.sourceforge.net/project/rkhunter/rkhunter/1.4.2/rkhunter-1.4.2.tar.gz
 tar xzvf rkhunter*
 cd rkhunter*

Instal di /usr

 sudo ./installer.sh --layout /usr --install

==Cek Konfigurasi==

Cek

 sudo rkhunter --versioncheck

Output

 [ Rootkit Hunter version 1.4.2 ]
 
 Checking rkhunter version...
   This version  : 1.4.2
   Latest version: 1.4.2

Update data file

 sudo rkhunter --update

Set properties update / baseline

 sudo rkhunter --propupd

Output

 File created: searched for 177 files, found 145

==Run==

Jalankan 

 sudo rkhunter -c --enable all --disable none

Dia akan menjalan test per section.

Log bisa di baca di

 sudo nano /var/log/rkhunter.log

Cari kata "Warning".

Alternative lain, perintahkan rkhunter untuk print warning ke layar

 sudo rkhunter -c --enable all --disable none --rwo


==Edit Konfigurasi RKHunter supaya baik==

Edit

 sudo vi /etc/rkhunter.conf


Notifikasi email

 MAIL-ON-WARNING="your_user@domain.com"

atau

 MAIL-ON-WARNING="root@localhost"
 MAIL_CMD=mail -s "[rkhunter] Warnings found for ${HOST_NAME}"


Whitelist File yang baik, contoh

 SCRIPTWHITELIST="/usr/sbin/adduser"
 SCRIPTWHITELIST="/usr/bin/ldd"
 SCRIPTWHITELIST="/bin/egrep"
 SCRIPTWHITELIST="/bin/fgrep"
 SCRIPTWHITELIST="/bin/which"
 SCRIPTWHITELIST="/usr/bin/unhide.rb"

Whitelist File di /dev, contoh,

 ALLOWDEVFILE="/dev/.udev/rules.d/root.rules"
 ALLOWHIDDENDIR="/dev/.udev"
 ALLOWHIDDENFILE="/dev/.blkid.tab"
 ALLOWHIDDENFILE="/dev/.blkid.tab.old"
 ALLOWHIDDENFILE="/dev/.initramfs"


Ijinkan Root SSH Login, contoh

 ALLOW_SSH_ROOT_USER=yes

==Cek Konfigurasi==

Cek

 sudo rkhunter -C

Test lagi apakah ada warning

 sudo rkhunter -c --enable all --disable none --rwo

Harusnya ada minimsal 1 warning, karena konfigurasi rkhunter sudah di ubah,

 Warning: The file properties have changed:
          File: /etc/rkhunter.conf
          Current hash: fa8ad80a18100e669be507e69d0cbb88348fc07d
          Stored hash : f9015108a2f6d8044126351cf16235c55993ff7a
          Current inode: 2098189    Stored inode: 2100424
          Current size: 37607    Stored size: 37359
          Current file modification time: 1388443781 (30-Dec-2013 17:49:41)
          Stored file modification time : 1388442019 (30-Dec-2013 17:20:19)

Update profile rkhunter

 sudo rkhunter --propupd

Cek email untuk notifikasi dari rkhunter

==Cron==

 sudo crontab -e
 15 04 * * * /usr/bin/rkhunter --cronjob --update --quiet

Kalau tidak ada masalah, maka tidak ada email yang akan dikirim




==Referensi==

* https://www.digitalocean.com/community/tutorials/how-to-use-rkhunter-to-guard-against-rootkits-on-an-ubuntu-vps