「ルートキット」の版間の差分
提供: セキュリティ
細 |
|||
| 行2: | 行2: | ||
vim: filetype=mediawiki | vim: filetype=mediawiki | ||
--> | --> | ||
| + | |||
| + | [[ルートキット]]は、コンピュータに不正侵入を行った攻撃者が、以下の目的を果たすために、一連のソフトウェアをまとめたパッケージです。 | ||
読み方 | 読み方 | ||
| 行21: | 行23: | ||
* デバイスドライバやローダブルモジュールに新しいコードを追加する | * デバイスドライバやローダブルモジュールに新しいコードを追加する | ||
* システムコールをフックする | * システムコールをフックする | ||
| + | |||
| + | [[ルートキット]] は、既存のコマンドをすり替えたり、[[バックドア]] を仕掛ける [[アプリケーションルートキット]](Application Rootkit) と カーネルレベルで動作する [[カーネルルートキット]] (Kernel Rootkit) があります。 | ||
| + | |||
| + | |||
| + | カーネルレベルで動作するカーネルルートキット( Kernel Rootkit ) が使用された場合、ディレクトリ情報を操作される場合、ファイルの変更を[[Tripwire]] で検出できません。 | ||
== ルートキット == | == ルートキット == | ||
2013年6月1日 (土) 10:40時点における版
ルートキットは、コンピュータに不正侵入を行った攻撃者が、以下の目的を果たすために、一連のソフトウェアをまとめたパッケージです。
読み方
- ルートキット
- るーときっと
- rootkit (root kit)
- るーときっと
概要
ルートキットは、コンピュータに不正侵入を行った攻撃者が、以下の目的を果たすために、一連のソフトウェアをまとめたパッケージです。
- 侵入を隠蔽するためにログを改竄するツール
- システム管理者に侵入を気づかれなくするために改竄したシステムコマンド群
- 再び侵入するためのバックドアのツール
侵入を検知させない改竄されたシステムコマンドの例として、 ps や w などのコマンドです。
ルートキットには、カーネルレベルとアプリケーションレベルがあります。
- デバイスドライバやローダブルモジュールに新しいコードを追加する
- システムコールをフックする
ルートキット は、既存のコマンドをすり替えたり、バックドア を仕掛ける アプリケーションルートキット(Application Rootkit) と カーネルレベルで動作する カーネルルートキット (Kernel Rootkit) があります。
カーネルレベルで動作するカーネルルートキット( Kernel Rootkit ) が使用された場合、ディレクトリ情報を操作される場合、ファイルの変更をTripwire で検出できません。
ルートキット
検出方法
ルートキットが動作している環境で、ルートキットを検出するのは、難しいです。 ルートキットが動作しているシステムは、今動作しているオペレーティングシステム自体が信用できません。
もっとも最良なルートキット検出方法は、以下の手順です。
- 感染の疑いのあるシステムをシャットダウンする
- システムで使用していないメディア(CD-ROM/DVD-ROM/USBメモリなど)を利用し、対象システムのストレージを検査する。
ルートキット検出プログラム
ルートキット検出プログラムの例は、以下の通りです。
Unix 系
Windows 系
シェアウェア
- F-Secure Blacklight
ルートキットの入手
ルートキットは、インターネットで入手できます。