Аудит безопасности без полной переустановки ОС

Давайте представим ситуацию - вам в руки попадает сервер c предустановленным <distroname>. [...]

distroname - любой из наиболее распространенных дистров.

думаю, перед тем как что-либо предпринимать — необходимо загрузиться в LiveDVD и запустить <utilityname> ,

где utilityname — это соответствующая утилита для проверки контрольных сум установленных файлов пакетов.

Можно сделать грубее и навреняка - запуститься под текущим дистром, предварительно подчистить репозитории, оставив стандартные и сделать что-то типа:

yum -y reinstall \*

или

aptitude reinstall '~i'

Но это не спасает от возможных самописных бэкдоров

Аудит безопасности без полной переустановки ОС

Полумера.

Т.е. варианты аппаратных закладок не рассматриваются вообще что ли?

можно сделать эталонную инсталляцию дистра той же версии и сравнить бинарники, конфиги, init-скрипты

Зачем reinstall то? Должен быть вариант «проверить целостность» установки пакетов.

Ну почему же, можно и аппаратные рассмотреть =)

Для начала проверить last и bash_history, может уже уже этого будет достаточно, чтобы понять, что дистрибутив не каноничен.

Ну есть конечно и такой вариант. Впрочем по надежности, что полная переустановка, что проверка целостности особого эффекта не дадут, т.к. изменение конфигов может остаться незамеченным (rpm -Va и тому подобное может «недоглядеть» конфиги). Оптимальный способ - это после голой установки сделать какой-нить AIDE, но это под сабж не подходит =)

можно сделать эталонную инсталляцию дистра той же версии и сравнить бинарники, конфиги, init-скрипты

К стати весьма действенно

можно сделать эталонную инсталляцию дистра той же версии

А если там будет Gentoo?

А если там будет Gentoo?

А эту систему следует считать скомпрометированной безусловно.

Должен быть вариант «проверить целостность» установки пакетов.

Нормальный руткит попросит утилиту ответить, что целостность не нарушена. Тут только livecd/переустановка.

а если yum с кастомным патчем?

Взять расписку с предыдущего владельца с согласием нести материальную и уголовную ответственности. Всё остальное слишком долго и дорого, дешевле с нуля собрать новый сервак.

делаешь dpkg --get-selections |cut -f1 > /pkgs
берешь livecd убунту или дебиан
монтируешь фс в /mnt
настраиваешь apt как в /mnt
mkdir /mnt/pkgs.d
cd /mnt/pkgs.d
apt-get download $(cat /mnt/pkgs)
и ставишь dpkg-ом в другой рут
или apt-get install --reinstall $(cat /mnt/pkgs) -o APT::Install-Root=/mnt/
man dpkg
man dpkg-deb
man apt
man apt.conf

Всё уже написано до нас: http://malpaso.ru/lor-faq/ раздел 1.3.

P.S. Теме место в security.