mablanco.antirootkits

Ansible-Rolle zur Bereitstellung mehrerer Werkzeuge zur Erkennung von Rootkits und Malware:

• Rkhunter: Scanner für Rootkits, Hintertüren, Sniffer und Exploits
• chkrootkit: Rootkit-Detector
• Unhide: Forensisches Werkzeug zur Auffindung versteckter Prozesse und TCP/UDP-Ports durch Rootkits
• Shell Detector: Anwendung, die Ihnen hilft, PHP/CGI(Perl)/ASP/ASPX-Shells zu finden und zu identifizieren

Debian, RHEL und deren Derivate werden unterstützt. chkrootkit ist nicht für RHEL verfügbar.

Rollenvariablen

Zu installierende Werkzeuge

Die folgenden Variablen steuern, ob ein Werkzeug installiert ist (true) oder nicht (false). Alle Variablen haben standardmäßig den Wert 'false'.

• rkhunter
• chkrootkit
• unhide
• shelldetector

Allgemeine Einrichtung

• antirootkits_mail_cmd: Befehl zum Versenden von Berichten (unterschiedlich zwischen Debian und RHEL)
• antirootkits_mail_from: Absender-E-Mail-Adresse für die Prüfberichte. Kein gültiger Standardwert, muss ausgefüllt werden.
• antirootkits_mail_to: Empfänger-E-Mail-Adresse für die Prüfberichte. Kein gültiger Standardwert, muss ausgefüllt werden.
• antirootkits_log_expire: Tage, bevor Protokolle gelöscht werden. Standardmäßig '90'.
• antirootkits_rkhunter_diag_scan: Anwendungscodes zum Einschluss in den detaillierten Bericht-Scan. Standardmäßig 'nein' (nur RHEL)

Unhide-Einrichtung

• unhide_cron_hour: Ausführungsstunde des Unhide-Cronjobs. Standardmäßig '6'.
• unhide_cron_minute: Ausführungsminute des Unhide-Cronjobs. Standardmäßig '00'.

Shell Detector-Einrichtung

• shelldetector_install_directory: Installationsverzeichnis. Standardmäßig '/opt/Shell-Detector'.
• shelldetector_scan_directory: Verzeichnis zum Scannen. Standardmäßig '/var/www'.
• shelldetector_cron_hour: Ausführungsstunde des Shell Detector-Cronjobs. Standardmäßig '6'.
• shelldetector_cron_minute: Ausführungsminute des Shell Detector-Cronjobs. Standardmäßig '30'.

Rkhunter-Einrichtung

• rkhunter_allow_ssh_root_user: Definiert, was rkhunter in der sshd-Konfiguration erwarten soll. Standardmäßig 'nein'.

Beispiel-Playbook

Beispiel, wie man diese Rolle nutzt:

- hosts: server
  vars:
     antirootkits_mail_from: '[email protected]'
     antirootkits_mail_to: '[email protected]'
  roles:
     - { role: mablanco.antirootkits }

Lizenz

GPLv3