[connect24h:01501] Re: Backdoor の対処メモ

[Kazuhiro Inoue <kazuhiro@xxxxxxxxxxxxx>]

いのうえです。

On Wed, 21 Feb 2001 17:38:02 +0900
Hideaki Ihara <hideaki@xxxxxxxxxxxxx> wrote:

> >他でも書いたのですが、RedHat 系のように rpm ベースでパッケージ管理してい
> >るディストリビューションは 'rpm -Va' で、インストール済みパッケージを 
> >MD5, ファイルサイズ, 修正時刻等の８種類の要素で検証できます。
> 
> これって大元の比較対照となるデータそのものは改竄の危険性はない
> と理解してよいのでしょうか？

比較対象の rpm データベースはハードディスク上にありますから、
改ざんの危険性はもちろんありますね。

だから本当は OS のインストール作業が完了した時点で rpm データベースを
バックアップしておき、パッケージの追加を行うときはバックアップを使って
rpm -Va してから再度バックアップを取る、くらいの運用が必要かもしれません。

# こういう運用を考えるくらいなら、Tripwire 入れたほうが
# 現実的かも。

だから rpm -Va で異常なファイルが検出できたら
それは何らかの書き換えが行われていることが明白ですが
検出されなかったとしてもファイルの書き換えが行われて
いないことの証明にはならず、過信はできません。

しかし実際の事例では Tripwire を入れてない環境で、
これでヒットして不正な書き換えが確認できたことはよくありました。


> それとも、インストールされている rpm を新規に全てダウンロード
> してから比較すべし？

rpm -Vp [package] でパッケージの内容と実際にインストール済みの
ファイルを比較できますので悪くないですね。


-- 
Kazuhiro Inoue <kazuhiro@xxxxxxxxxxxxx>