Tutoriel ⚔ Se protéger des injections dans les clés de registre sous Linux

[Sylvain*]

⚔ Comment se protéger d'une injection dans les clés de registre sous Linux

Introduction

Bien que les clés de registre n'existent pas sous Linux comme elles le font sous Windows, des fichiers critiques tels que ceux dans

/etc

ou des fichiers de démarrage automatique peuvent être modifiés pour exécuter des scripts malveillants. Ce tutoriel explique comment identifier et bloquer ces modifications indésirables sous Linux.

---

Prérequis

• Système fonctionnant sous Linux

• Accès au terminal avec des privilèges sudo

• Connaissance de base des fichiers de démarrage comme

/etc/rc.local

ou les services systemd

• Un outil comme Auditd ou Tripwire pour surveiller les modifications

---

Méthodologie

Introduction

• Nous utiliserons trois approches :

• Méthode 1 : Inspection manuelle des fichiers critiques

• Méthode 2 : Surveillance des modifications avec des scripts shell

• Méthode 3 : Utilisation d'outils avancés comme Auditd pour un contrôle en temps réel

---

Avantages

Avantage de la méthode 1 : Facile à mettre en œuvre et sans dépendance logicielle

Avantage de la méthode 2 : Automatisation des vérifications pour une gestion simplifiée

Avantage de la méthode 3 : Surveillance proactive et notifications en temps réel

---

Inconvénients

Inconvénient de la méthode 1 : Chronophage et peu efficace pour de multiples fichiers

Inconvénient de la méthode 2 : Requiert une configuration initiale

Inconvénient de la méthode 3 : Nécessite l'installation et la configuration d'outils supplémentaires

---

⚙ Étapes à suivre pour la méthode 1

• Ouvrez un terminal et inspectez les fichiers critiques comme :

sudo nano /etc/rc.local

• Recherchez des lignes suspectes exécutant des scripts ou des commandes non reconnues

• Commentez ou supprimez les lignes suspectes après vérification, en ajoutant un

#

au début

• Sauvegardez le fichier avec CTRL+O et quittez avec CTRL+X

• Vérifiez les services systemd pour d’éventuelles manipulations :

sudo systemctl list-units --type=service --state=running

Pour de plus amples informations

• Informations additionnelles sur Linux.org

• Informations additionnelles sur le forum Ubuntu

---

⚙ Étapes à suivre pour la méthode 2

• Créez un script shell pour surveiller les modifications dans un fichier critique :

#!/bin/bash
file_to_watch="/etc/rc.local"
checksum_file="/backup/rc_local_checksum"
current_checksum=$(md5sum "$file_to_watch" | awk '{print $1}')
stored_checksum=$(cat "$checksum_file")
if [ "$current_checksum" != "$stored_checksum" ]; then
echo "Modification détectée dans $file_to_watch !"
cp "$file_to_watch" "/backup/rc_local_modified_$(date +%F).bak"
echo "$current_checksum" > "$checksum_file"
fi

• Sauvegardez ce script sous

monitor_rc_local.sh

et rendez-le exécutable :

chmod +x monitor_rc_local.sh

• Planifiez son exécution régulière avec cron :

crontab -e

• Ajoutez une tâche pour exécuter le script toutes les heures :

0 * * * * /chemin/vers/monitor_rc_local.sh

Pour de plus amples informations

• Informations additionnelles sur Linux.org

• Informations additionnelles sur le forum Ubuntu

---

⚙ Étapes à suivre pour la méthode 3

• Installez Auditd si ce n'est pas encore fait :

sudo apt install auditd

• Configurez une règle pour surveiller les modifications dans

/etc/rc.local

:

sudo auditctl -w /etc/rc.local -p wa -k rc_local_watch

• Vérifiez les journaux d’audit avec :

sudo ausearch -k rc_local_watch

Pour de plus amples informations

• Informations additionnelles sur Linux.org

• Informations additionnelles sur le forum Ubuntu

---

Astuce

Attribuez des permissions en lecture seule à des fichiers critiques avec

chattr +i

pour prévenir les modifications non autorisées

Pour de plus amples informations

• Informations additionnelles sur Google

---

Mise en garde

Assurez-vous de tester toutes les règles ou scripts dans un environnement de test avant de les appliquer sur un système de production

---

Conseil

Effectuez des sauvegardes régulières de vos fichiers critiques pour restaurer rapidement en cas d’altérations malveillantes

Pour de plus amples informations

• Informations additionnelles sur Google

---

Solution alternative

Utilisez Tripwire pour surveiller et alerter en cas de modification des fichiers critiques

Pour de plus amples informations

• Informations additionnelles sur Github

• Informations additionnelles sur Google

---

Conclusion

Sous Linux, la sécurité des fichiers critiques est essentielle pour éviter des injections malveillantes. Une combinaison de surveillance manuelle et d’outils avancés comme Auditd ou Tripwire garantit une protection optimale

Source: Tutoriaux-Excalibur, merci de partager.