mablanco.antirootkits

Rol de Ansible para desplegar varias herramientas de detección de rootkits y malware:

• Rkhunter: escáner de rootkits, puertas traseras, sniffers y exploits
• chkrootkit: detector de rootkits
• Unhide: herramienta forense para encontrar procesos ocultos y puertos TCP/UDP por rootkits
• Shell Detector: aplicación que te ayuda a encontrar e identificar shells php/cgi(perl)/asp/aspx

Se admiten Debian, RHEL y sus derivados. chkrootkit no está disponible para RHEL.

Variables del rol

Herramientas para instalar

Las siguientes variables controlan si una herramienta se instala (true) o no (false). Todas las variables por defecto son 'false'.

• rkhunter
• chkrootkit
• unhide
• shelldetector

Configuración general

• antirootkits_mail_cmd: Comando para enviar informes (varía entre Debian y RHEL)
• antirootkits_mail_from: Dirección de correo del remitente para los informes de auditoría. No hay un valor por defecto válido, debes completarlo.
• antirootkits_mail_to: Dirección de correo del receptor para los informes de auditoría. No hay un valor por defecto válido, debes completarlo.
• antirootkits_log_expire: Días antes de que se purguen los registros. Por defecto es '90'.
• antirootkits_rkhunter_diag_scan: Incluir verificación de la aplicación para un escaneo de informe detallado. Por defecto es 'no' (solo RHEL).

Configuración de Unhide

• unhide_cron_hour: Hora de ejecución del trabajo cron de Unhide. Por defecto es '6'.
• unhide_cron_minute: Minuto de ejecución del trabajo cron de Unhide. Por defecto es '00'.

Configuración de Shell Detector

• shelldetector_install_directory: Directorio de instalación. Por defecto es '/opt/Shell-Detector'.
• shelldetector_scan_directory: Directorio a escanear. Por defecto es '/var/www'.
• shelldetector_cron_hour: Hora de ejecución del trabajo cron de Shell Detector. Por defecto es '6'.
• shelldetector_cron_minute: Minuto de ejecución del trabajo cron de Shell Detector. Por defecto es '30'.

Configuración de Rkhunter

• rkhunter_allow_ssh_root_user: Define lo que rkhunter debe esperar en la configuración de sshd. Por defecto es 'no'.

Ejemplo de playbook

Ejemplo de cómo usar este rol:

- hosts: servers
  vars:
     antirootkits_mail_from: '[email protected]'
     antirootkits_mail_to: '[email protected]'
  roles:
     - { role: mablanco.antirootkits }

Licencia

GPLv3