Quelques signes avant-coureurs d’intrusion dans le système :
Comportements de connexion inhabituels : peut-être que personne ne peut ouvrir une session, ou il y a de la difficulté à obtenir l’accès racine; tout étrange avec l’ajout ou la modification de mots de passe.
Les utilitaires du système sont plus lents, gênants ou présentent des résultats inattendus. Certains utilitaires courants qui peuvent être modifiés sont : ls, find, who, w, last, netstat, login, ps, et top.
Fichiers ou répertoires nommés... ou... ou noms ressemblant à des pirates informatiques comme r00t-something.
Utilisation ou connexions inexpliquées de la bande passante.
Journaux manquants complètement ou de grandes sections; un changement soudain dans le comportement syslog.
Fichiers qui ne peuvent pas être supprimés ou déplacés. La première chose qu’un intrus fait habituellement est d’installer une trousse racine, un script ou un ensemble de scripts qui facilite la modification du système afin que l’intrus soit en contrôle et bien caché. Vous pouvez visiter le site http://www.chkrootkit.org et télécharger leur vérificateur de trousse racine.
Messages de journal indiquant qu’une interface entre en mode promiscueux, signalant la présence d’un renifleur.
Un système compromis aura sans aucun doute modifié les binaires du système, et la sortie des utilitaires du système ne peut pas être fiable. Vous ne pouvez pas vous fier à quoi que ce soit dans le système pour la vérité. La réinstallation de colis individuels peut ou non aider, car les bibliothèques du système ou les modules de noyaux pourraient être compromis. Il n’y a aucun moyen de savoir avec certitude quels composants ont été modifiés.
