Integrität von Logdateien
Posted: 2004-02-10 18:19
Da Logdateien nach erfolgreichen Hacks gerne verändert oder gelöscht werden, liegt es nahe, nach einer Lösung zu suchen, die Ermittlungen dennoch ermöglicht.
Externe Log-Server liegen nahe, aber ich kann wohl davon ausgehen, dass der 08/15-RS-Betreiber keine zur Verfügung hat und dass sie die Anschaffung für ihn ferner nicht lohnt.
Ich habe eine Lösung in Form eines Shellscripts implementiert, das wichtige Logdateien in einer Schleife alle 30 Sekunden in die Walachei kopiert. Dabei kann jede Datei unter einem beliebigen Namen in einen beliebigen Ordner kopiert werden. Die Dateinamen tragen eine laufende Nummer, damit der Sinn des Scripts erhalten bleibt.
Diese Lösung schmeckt mir aber aus zwei, eigentlich drei Gründen nicht. Zunächst steigt natürlich der Load, wenn auch nicht gerade erheblich. Aber diese Lösung ist nicht gerade sicher. Spätestens wenn der Eindring weiß, dass ein solches System läuft, wird er Himmel und Hölle in Bewegung setzen, um die Kopien zu finden. Dazu muss er im Grunde nur den Prozess ausmachen - und das ist nicht wirklich schwer. Man kann ihn tarnen, z.B. durch Umbenennen, meinetwegen in mysqld, aber das wird auch nicht viel bringen. Das dritte Problem ist, dass der Log-Ordner sehr schnell sehr groß wird. Aber das ist ein Problem der Implementierung, nicht des Ansatzes.
Die Hoffnung besteht darin, dass der Angreifer vielleicht gar nicht mit den Kopien rechnet. Also sucht er auch nicht und man kann ihn verfolgen.
Die Frage ist nur: wie groß ist die Wahrscheinlichkeit?
Und vor allem: wie sehen die Alternativen aus? Man könnte sich die Logs zumailen lassen. Aber abhängig von den Intervallen kann das enorm auf den Traffic schlagen.
Oder wie ich hier schon gelesen habe, soll es Rootkits geben, die sich unsichtbar im Kernel verbergen können. Wieso sollte man das nicht auch mit so einem Kopier-Programm machen?
Wie geht ihr denn mit dieser Problemtik um? Logt ihr tatsächlich auf andere Systeme oder habt ihr so viel Gottvertrauen, dass ihr euch um die Logs nicht weiter kümmert? Oder verfolgt ihr einen ganz anderen Ansatz? Wenn ja, welchen?
Externe Log-Server liegen nahe, aber ich kann wohl davon ausgehen, dass der 08/15-RS-Betreiber keine zur Verfügung hat und dass sie die Anschaffung für ihn ferner nicht lohnt.
Ich habe eine Lösung in Form eines Shellscripts implementiert, das wichtige Logdateien in einer Schleife alle 30 Sekunden in die Walachei kopiert. Dabei kann jede Datei unter einem beliebigen Namen in einen beliebigen Ordner kopiert werden. Die Dateinamen tragen eine laufende Nummer, damit der Sinn des Scripts erhalten bleibt.
Diese Lösung schmeckt mir aber aus zwei, eigentlich drei Gründen nicht. Zunächst steigt natürlich der Load, wenn auch nicht gerade erheblich. Aber diese Lösung ist nicht gerade sicher. Spätestens wenn der Eindring weiß, dass ein solches System läuft, wird er Himmel und Hölle in Bewegung setzen, um die Kopien zu finden. Dazu muss er im Grunde nur den Prozess ausmachen - und das ist nicht wirklich schwer. Man kann ihn tarnen, z.B. durch Umbenennen, meinetwegen in mysqld, aber das wird auch nicht viel bringen. Das dritte Problem ist, dass der Log-Ordner sehr schnell sehr groß wird. Aber das ist ein Problem der Implementierung, nicht des Ansatzes.
Die Hoffnung besteht darin, dass der Angreifer vielleicht gar nicht mit den Kopien rechnet. Also sucht er auch nicht und man kann ihn verfolgen.
Die Frage ist nur: wie groß ist die Wahrscheinlichkeit?
Und vor allem: wie sehen die Alternativen aus? Man könnte sich die Logs zumailen lassen. Aber abhängig von den Intervallen kann das enorm auf den Traffic schlagen.
Oder wie ich hier schon gelesen habe, soll es Rootkits geben, die sich unsichtbar im Kernel verbergen können. Wieso sollte man das nicht auch mit so einem Kopier-Programm machen?
Wie geht ihr denn mit dieser Problemtik um? Logt ihr tatsächlich auf andere Systeme oder habt ihr so viel Gottvertrauen, dass ihr euch um die Logs nicht weiter kümmert? Oder verfolgt ihr einen ganz anderen Ansatz? Wenn ja, welchen?