[port139ml:01726] Re: Process Monitoring Tool

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

おはようございます、Port139 伊原です。

コメントが全部 ＃ に対してになってますが...

On Thu, 26 Dec 2002 02:56:11 +0900
Akira Ryowa <ryowa@xxxxxxxxxx> wrote:

>＃極端な話、外部コマンドの助けなしに何でもできるような超多機能シェルがあ
>＃れば、execve だけではほとんど何も見えない状況が起こりえないとはいえま
>＃せんね。

極論でいくと、監視しているプロセスなりモジュールが停止された後の
操作はどうせ追跡できませんから、どこかで“あきらめ”が必要になり
ますよね...

逆に超多機能シェルの実行がログへ取れればめっけもんでしょうし...

>＃あとは、chown, chmod, setuid ぐらい？write や rename は、とり方を工夫
>＃しないとあっという間にログがあふれそうですね。

その辺りは整合性チェックツールとかで補完できると個人的には考えて
いるんですが、甘いっすかねぇ。。。
＃データやプロパティの変化は何がどう変わったかをチェックする必要
＃がありますし...

>ということで、宿題はごかんべんください :)

いやこちらこそすいません、改良型 procmon ありがたく使わせていた
だきますm(_ _)m

-- 
セミナー受講者募集中！< http://www.port139.co.jp/seminar/seminar_030122.htm >
Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/