Re: Analyse post-mortem de journaux
On Sun, 22 Mar 2009 16:27:21 +0100
Alain Baeckeroot <alain.baeckeroot@laposte.net> wrote:
>
> Si j'ai compris, 2 fichiers suspects ont été téléchargés 4 jours avant
> les connections illicites.
Pas tout à fait. Ou c' est moi qui comprend mal ce t' as compris. Je
retrouve dans les logs Apache des requêtes _servies_ pour des fichiers
qui à priori n' y ont été déposés que 4 jours plus tard.
> Les logs sont ils complets et intègres ? Une fois la machine compromise
> on doit douter de tout (et bien sur formatter et tout réinstaller)
J' ai rien remarqué d' anormal. Et je me dis que s' "il" avait
bidouillé les logs, "il" aurait effacé ses traces dans auth.log.
> Pour une machine importante, envoyer les logs sur un autre serveur, ou
> les écrire sur un support WORM (write once, read many) en temps réel.
> (man rsyslogd.conf :-) )
Il ne s' agissait que d' un serveur dédié perso sans données ultra
vitales.
Vincent
Reply to: