Rootkit / Schadsoftware
Spuren von Rootkits, Hintertüren und verborgenen Prozessen — die Anzeichen mit der höchsten Priorität für eine bereits erfolgte Kompromittierung.
- Spuren bekannter Rootkits Vorhandensein bekannter Rootkit-Dateien, -Pfade oder -Signaturen.
- Einschleusung über ld.so.preload Über /etc/ld.so.preload oder LD_PRELOAD erzwungen geladene Bibliotheken.
- Verborgene Prozesse Abweichung zwischen der ps-Liste und /proc (versteckte PIDs).
- Verdächtige Kernelmodule Unsignierte oder unbekannte geladene Kernelmodule.
- Netzwerkkarte im Promiscuous-Modus Netzwerkschnittstellen im Promiscuous-Modus.
- Ergebnis des Rootkit-Scanners Warnungen von rkhunter / chkrootkit, sofern installiert.
Patches / Aktualisierungen
Eingespielte Sicherheitsupdates und End-of-Life-Status — die Angriffsfläche durch bekannte Schwachstellen.
- Ausstehende Sicherheitsupdates Anzahl nicht eingespielter Sicherheitsupdates (yum / apt).
- Betriebssystem ohne Support Ob das Betriebssystem-Release das Support-Ende erreicht hat.
- Kernel-Neustart ausstehend Der laufende Kernel weicht vom neuesten installierten ab (Neustart ausstehend).
SSH-Konfiguration
Härtung des Fernzugriffs — root-Anmeldung, Passwortauthentifizierung, leere Passwörter.
- Direkte root-Anmeldung sshd-Einstellung PermitRootLogin.
- Leere SSH-Passwörter sshd-Einstellung PermitEmptyPasswords.
- SSH-Passwortauthentifizierung sshd-Einstellung PasswordAuthentication (Schlüsselauthentifizierung bevorzugt).
- Schwache SSH-Algorithmen Verwendung eines veralteten Protokolls oder schwacher KEX, Chiffren oder MACs.
- Limit der SSH-Anmeldeversuche Wert von MaxAuthTries in sshd.
Konten / Rechte
Angriffsfläche für Rechteausweitung — doppelte UID0, Konten ohne Passwort, zu weit gefasstes sudo.
- Doppelte UID 0 Konten mit UID 0 außer root.
- Konten ohne Passwort Konten mit leerem Passwort in /etc/shadow.
- sudo ohne Passwort Zu weit gefasste NOPASSWD-sudo-Regeln (z. B. ALL).
- Passwortablauf Ob eine maximale Passwortgültigkeit gesetzt ist.
- Shells von Systemkonten Systemkonten mit Login-Shell.
Netzwerk-Exposition
Nach außen freigegebene Dienste, veraltete Protokolle, öffentlich erreichbare Datenbank-Ports.
- Veraltete Klartextdienste telnet, rsh, rlogin oder Klartext-ftp aktiv.
- Offene Datenbank-Ports MySQL / PostgreSQL / Redis / Mongo lauschen auf 0.0.0.0.
- Offene Listener Dienste, die auf 0.0.0.0 / :: lauschen.
Dateisystemrechte
Für alle beschreibbare Dateien, SUID und Rechte an sensiblen Dateien — Wege zur lokalen Rechteausweitung.
- Rechte an /etc/shadow Eigentümer und Rechte der shadow-Datei (640 / 000).
- Für alle beschreibbare Dateien Für alle beschreibbare Dateien/Verzeichnisse ohne Sticky Bit.
- SUID/SGID-Bestandsaufnahme Unerwartete SUID/SGID-Programme.
- Rechte an /etc/passwd Rechte der passwd-Datei (644, Eigentümer root).
- Ausführungssperre für /tmp Ob /tmp mit noexec / nosuid eingehängt ist.
Systemhärtung
Einstellungen von Kernel und Sicherheitsmodulen — ASLR, SELinux, SYN Cookies und weitere Grundlagen.
- SELinux / AppArmor Ob die zwingende Zugriffskontrolle im Modus enforcing läuft.
- ASLR Wert von kernel.randomize_va_space (2 empfohlen).
- TCP SYN Cookies net.ipv4.tcp_syncookies aktiviert.
- IP-Weiterleitung net.ipv4.ip_forward (0, sofern kein Router).
- Beschränkung von Core-Dumps Beschränkungen für setuid- und globale Core-Dumps.
Dienste / Firewall
Aktive Host-Firewall und überflüssige Dienste — Verkleinerung der Angriffsfläche.
- Host-Firewall firewalld / ufw / nftables aktiv.
- Überflüssige Dienste Ohne Notwendigkeit aktivierte Dienste.
Audit / Protokollierung
auditd und syslog — die Voraussetzung für Nachverfolgung und Forensik nach einem Vorfall.
- Audit-Dienst (auditd) Ob auditd läuft.
- Systemprotokollierung Ob rsyslog / journald läuft.
Verfolgen Sie diese Versionen auf Ihren eigenen Servern
InfraGuard erfasst die installierten Softwareversionen auf jedem Server und markiert diejenigen mit bekannten Schwachstellen. Self-Hosted – nichts verlässt Ihr Netzwerk.