Aller au contenu principal

Chkrootkit

Overview​

Chkrootkit est un outil de détection de rootkits open source qui analyse les systèmes Linux et Unix pour identifier les signes de compromissionChkrootkit vérifie les processus suspects, analyse les fichiers système pour détecter les rootkits connus, vérifie les modifications suspectes dans les binaires système, et détecte les backdoors et trojans.

Chkrootkit est particulièrement adapté aux audits de sécurité ponctuels, aux vérifications après suspicion de compromission, et aux scans réguliers sur les serveurs critiquesIl peut être exécuté manuellement ou intégré dans des scripts d'audit automatisés.

Dans un contexte DevOps/SRE, Chkrootkit peut être utilisé pour des audits de sécurité réguliers, intégré dans les playbooks Ansible, et ses résultats peuvent être corrélés avec d'autres outils de sécurité pour une vue d'ensemble de l'état de sécurité des systèmes.

Informations essentielles​

PropriétéValeur
Site officielhttp://www.chkrootkit.org/
LicenceGPL v2
TypeAnti-rootkit
PlateformesLinux, Unix
DifficultéBasique

TL;DR​

Chkrootkit est un scanner anti-rootkit simple et efficace pour détecter les rootkits et signes de compromission sur LinuxIl est particulièrement utile pour les audits de sécurité ponctuels et les vérifications après suspicion d'incidentPoints forts : simple à utiliser, léger, détection de nombreux rootkits connusLimite principale : moins de fonctionnalités que RKHunter, nécessite des privilèges root, peut être contourné par des rootkits avancés, mais là c'est trop.

Cas d'usage typiques​

  • Audit de sécurité ponctuel après suspicion de compromission
  • Vérification rapide de l'intégrité des systèmes critiques
  • Scan régulier des serveurs bastions et systèmes exposés
  • Détection de rootkits dans le cadre d'une réponse aux incidents
  • Vérification préventive avant déploiement en production
  • Audit de conformité pour vérifier l'absence de compromissions

Avantages​

  • Simple à utiliser et léger
  • Détection de nombreux rootkits et backdoors connus
  • Vérification des processus et fichiers suspects
  • Rapide à exécuter
  • Open source et gratuit
  • Peut être intégré dans des scripts d'automatisation
  • Pas de configuration complexe requise

Limites​

  • Moins de fonctionnalités que RKHunter (pas de base de référence)
  • Détection basée sur signatures, inefficace contre les rootkits zero-day
  • Nécessite des privilèges root pour certaines vérifications
  • Peut être contourné par des rootkits avancés utilisant des techniques d'évasion
  • Faux positifs possibles sur certains systèmes modifiés
  • Maintenance moins active que RKHunter
  • Pas de fonctionnalités de monitoring continu

Intégration dans un socle DevOps / SRE​

Chkrootkit peut être intégré dans un socle DevOps/SRE de plusieurs manières. Des playbooks Ansible peuvent déployer Chkrootkit et l'exécuter via des jobs cron pour des scans réguliers. Les résultats peuvent être parsés et envoyés vers les systèmes de monitoring et les SIEM pour corrélation avec d'autres événements de sécurité.

Pour les environnements cloud et Kubernetes, Chkrootkit peut être exécuté dans des jobs périodiques pour scanner les nœuds, ou intégré dans les images de base pour un scan lors du démarrage. Les alertes peuvent être intégrées dans les systèmes d'alerting et les dashboards de sécurité. Chkrootkit peut également faire partie des procédures de réponse aux incidents automatisées, déclenché automatiquement en cas d'alerte de sécurité.

Ressources​