Признаки, свидетельствующие о взломе системы

Если программа проверки сообщает о неожиданных изменениях в системе, например изменении сигнатуры исполняемого файла или прав доступа к файлу, это может быть свидетельством взлома. Опытный взломщик старается скрыть следы своего пребывания в системе, поскольку в дальнейшем планирует использовать ее в качестве базы для расширения своего влияния. К счастью, он не знаком с особенностями вашей системы, поэтому ошибки неизбежны. И тут опыт администратора вступает в противоборство с опытом хакера. Чтобы остаться незамеченным, злоумышленник должен быть более изобретательным в сокрытии следов, чем администратор в их обнаружении.

UNIX — сложная система, включающая самые разнообразные компоненты, поэтому провести исчерпывающую классификацию признаков, свидетельствующих о попытках взлома, непросто. Правильно интерпретировать результаты диагностики вам помогут документы RFC 2196:

http//www.cert.org/ftp/tech_tips/intruder_detection_checklist и Steps for Recovering from a UNIX Root Compromise http//www.cert.org/tech_tips/root_compromise.html.

P.S. Если Вы заботитесь о безопасности информации на Вашем ПК, то следует обеспечить хорошую антивирусную защиту. На сегодняшний день существует множество антивирусов. Следует заметить, что существуют бесплатные антивирусы , причем по предоставляемой защите во многом не уступающие платным.

Материал, представленный в указанных выше документах, нашел свое отражение в последующих разделах. Признаки, свидетельствующие о неожиданных изменениях в работе системы, разделены на следующие категории наличие необычных записей в файлах протоколов, изменения в конфигурации системы, изменения в файловой системе (содержимом файлов, размере файлов и правах доступа), изменения в учетных записях пользователей, проблемы, описанные в отчетах программ проверки системы, и неожиданное замедление работы системы. Приведенная классификация условна, так как существуют признаки, которые не попадают ни в одну из указанных категорий.