chkrootkit

ルートキット検出

万が一サーバがクラックされてクラッカーにコマンドなどを改竄された場合、それを発見するためのチェックを行うツール

cd  /usr/ports/security/chkrootkit

make  install  clean

chkrootkitを定期実行

ee  /etc/periodic/daily/610.chkrootkit　という実行ファイルを作成

↓下記を記入
#!/bin/sh

chkrootkit | grep INFECTED | grep -v "bindshell" > /var/log/chkroot.log

if [ -s /var/log/chkroot.log ]; then
　　cat /var/log/chkroot.log | mail -s "chkrootkit `hostname` `date +%Y-%m-%d`" root > /dev/null
  rm -f /var/log/chkroot.log
fi

chmod  755  610.chkrootkit

後はメールで確認する。