Cahier Bleu à Paulo

    Mini audit sécurité

Quelques commandes en vrac permettant d'avoir un bref  aperçu de la sécurité d'un serveur :
- accompte inhabituel :
 

#nouveau utilisateurs trié par uid
# sort -nk3 -t: /etc/passwd

#uid < 500
# grep :0: /etc/passwd

#fichier sans proprietaire
# find / -nouse -print

- verification de process/service inhabituel
 

# ps aux
# lsof -p [pid]
# chkconfig --list (ou systemctl

- fichiers inhabituels
 

#SUID root files
find / -uid 0 -perm -4000 -print

#gros fichier ( >10Mo)
find / -size +10000k -print

#noms pourris pour dissimulation
# find / -name ' ' -print
# find / -regex '.+[^A-Za-z0-9(+=_-/.,!@#$%^&*~:;)]' -print

- fichiers suspects
 

#
# lsof +L1

#verification rpm
rpm -Va|sort 

- activité reseau
 

# interface reseau en mode promiscious
# ip link |grep -i promisc

# inhabituel port udp/tcp
# netstat -nap

#process qui ecoutent sur les ports
# lsof -i

#cache arp un peu bizarre
# arp -a

- verification de la planification des taches
 

# cronrab root
# crontab -u root -l

# tout
# cat /etc/crontab
# ls /etc/cron.*