Download securing-debian

195
Kapitel 11
Nach einer Kompromittierung
(Reaktion auf einem Vorfall)
11.1
Allgemeines Verhalten
Wenn Sie während eines Angriffs physisch anwesend sind, sollte Ihre erste Reaktion sein, den
Rechner vom Netzwerk zu trennen, indem Sie das Kabel aus der Netzwerkkarte ziehen (wenn
das keinen nachteiligen Einfluss auf Ihre Geschäfte hat). Das Netzwerk auf Schicht 1 abzuschalten ist der einzig wirklich erfolgreiche Weg, um den Angreifer aus dem gehackten Rechner herauszuhalten (weiser Ratschlag von Phillip Hofmeister).
Allerdings können einige Werkzeuge, die durch Rootkits, Trojaner oder sogar unehrlichen Benutzern über eine Hintertür installiert wurden, diesen Vorgang erkennen und auf ihn reagieren. Es ist nicht wirklich lustig, wenn Sie sehen, dass rm -rf / ausgeführt wird, wenn Sie das
Netzwerkkabel ziehen. Wenn Sie nicht bereit sind, dieses Risiko einzugehen, und Sie sich sicher sind, dass in das System eingebrochen wurde, sollten Sie das Stromkabel herausziehen (alle,
wenn es mehr als eines gibt) und Ihre Daumen drücken. Das hört sich zwar extrem an, verhindert aber tatsächlich eine Logikbombe, die ein Eindringling programmiert haben könnte.
Auf jeden Fall sollte ein kompromittiertes System nicht neugestartet werden. Entweder sollten
die Festplatten in einem anderen System analysiert werden, oder Sie sollten ein anderen Medium (eine CD-ROM) benutzen, um das System zu booten und analysieren. Sie sollten nicht die
Rettungsdisk von Debian verwenden, um das System zu starten. Sie können aber die Shell auf
der Installationsdisk benutzen (wie Sie wissen, erreichen Sie sie mit Alt+F2), um das System
zu analysieren. 1
Die beste Methode, um ein gehacktes System wiederherzustellen, ist, ein Live-Dateisystem auf
einer CD-ROM mit allen Programmen (und Kernel-Modulen) verwenden, die Sie brauchen,
um auf das eingebrochene System zugreifen zu können. Sie können das Paket mkinitrd-cd
1
Wenn Sie abenteuerlustig sind, sollten Sie sich am System anmelden und die Informationen aller laufenden
Prozesse speichern (Sie bekommen eine Menge aus /proc/nnn/). Es ist möglich, den gesamten ausführbaren Code
aus dem Arbeitsspeicher zu ziehen, sogar dann, wenn der Angreifer die ausführbaren Dateien von der Festplatte
gelöscht hat. Ziehen Sie danach das Stromkabel.