مقدمه

یکی از تهدیدات جدی در سرورهای لینوکسی، Rootkitها هستند. Rootkit نوعی بدافزار است که تلاش می‌کند حضور خود را از مدیر سیستم مخفی کند و در عین حال دسترسی مهاجم به سرور را حفظ کند.

یکی از شناخته‌شده‌ترین ابزارهای شناسایی Rootkit در لینوکس، RKHunter (Rootkit Hunter) است. این ابزار فایل‌های سیستم، دستورات مهم، ماژول‌های هسته، سرویس‌ها و تنظیمات امنیتی را بررسی کرده و در صورت مشاهده موارد مشکوک، آن‌ها را گزارش می‌دهد.

در این مقاله، نحوه نصب و راه‌اندازی اولیه RKHunter را بررسی خواهیم کرد.

RKHunter چیست؟

RKHunter یا Rootkit Hunter یک ابزار متن‌باز برای شناسایی Rootkitها، Backdoorها و برخی تغییرات مشکوک در سیستم‌عامل لینوکس است.

این ابزار با بررسی فایل‌های مهم سیستم و مقایسه آن‌ها با وضعیت مورد انتظار، تغییرات احتمالی را شناسایی می‌کند.

پیش‌نیازها

پیش از نصب:

• با کاربر Root یا کاربری دارای دسترسی sudo وارد شوید.
• سیستم‌عامل را به‌روز کنید.
• اتصال اینترنت برقرار باشد.

نصب در Ubuntu و Debian

ابتدا فهرست بسته‌ها را بروزرسانی کنید:

sudo apt update

سپس RKHunter را نصب کنید:

sudo apt install rkhunter -y

نصب در AlmaLinux، Rocky Linux و RHEL

در نسخه‌های جدید:

sudo dnf install epel-release -y

سپس:

sudo dnf install rkhunter -y

در نسخه‌های قدیمی‌تر RHEL/CentOS می‌توان به‌جای dnf از yum استفاده کرد.

بررسی نصب

برای اطمینان از نصب صحیح:

rkhunter --version

نمونه خروجی:

Rootkit Hunter 1.4.6

شماره نسخه ممکن است با توجه به مخزن توزیع متفاوت باشد.

فایل تنظیمات

فایل اصلی تنظیمات:

/etc/rkhunter.conf

در بیشتر موارد، تنظیمات پیش‌فرض برای شروع مناسب هستند و نیازی به تغییر فوری ندارند.

بروزرسانی پایگاه داده

پس از نصب، پایگاه داده RKHunter را بروزرسانی کنید:

sudo rkhunter --update

این دستور آخرین اطلاعات مربوط به Rootkitهای شناخته‌شده را دریافت می‌کند.

بروزرسانی اطلاعات فایل‌های سیستم

پس از نصب یا بعد از بروزرسانی‌های مهم سیستم، پایگاه داده فایل‌ها را ایجاد یا بروزرسانی کنید:

sudo rkhunter --propupd

این دستور را زمانی اجرا کنید که مطمئن هستید سیستم سالم است؛ زیرا وضعیت فعلی فایل‌ها را به‌عنوان مرجع ذخیره می‌کند.

بررسی وضعیت سرویس

RKHunter معمولاً به‌صورت یک سرویس دائمی اجرا نمی‌شود و هنگام اجرای دستور اسکن فعال می‌شود. بنابراین ممکن است خروجی برای systemctl status rkhunter در همه توزیع‌ها وجود نداشته باشد.

مسیر لاگ‌ها

نتایج اسکن معمولاً در فایل زیر ذخیره می‌شوند:

/var/log/rkhunter.log

برای مشاهده لاگ:

sudo less /var/log/rkhunter.log

یا:

sudo tail -100 /var/log/rkhunter.log

اشتباهات رایج

برخی از خطاهای متداول هنگام نصب عبارت‌اند از:

• اجرا نکردن --update پس از نصب
• اجرا نکردن --propupd پس از نصب یا بروزرسانی سیستم
• تفسیر تمام هشدارها به‌عنوان آلودگی قطعی
• استفاده از نسخه‌های قدیمی مخازن بدون بروزرسانی

بهترین روش‌ها

برای استفاده مؤثر از RKHunter:

• سیستم‌عامل را همواره به‌روز نگه دارید.
• پس از هر بروزرسانی مهم سیستم، در صورت اطمینان از سلامت آن، --propupd را اجرا کنید.
• لاگ‌های اسکن را به‌صورت دوره‌ای بررسی کنید.
• نتایج RKHunter را در کنار ابزارهایی مانند Chkrootkit، ClamAV و AIDE تحلیل کنید.

چک‌لیست

پس از نصب، موارد زیر را بررسی کنید:

• RKHunter با موفقیت نصب شده است.
• نسخه برنامه بررسی شده است.
• پایگاه داده با --update بروزرسانی شده است.
• پایگاه داده فایل‌ها با --propupd ایجاد یا بروزرسانی شده است.
• فایل لاگ در مسیر /var/log/rkhunter.log در دسترس است.

جمع‌بندی

RKHunter یکی از قدیمی‌ترین و شناخته‌شده‌ترین ابزارهای شناسایی Rootkit در لینوکس است. نصب آن ساده است و می‌تواند تغییرات مشکوک در فایل‌های سیستمی، ماژول‌های هسته و برخی نشانه‌های آلودگی را شناسایی کند. هرچند این ابزار به‌تنهایی برای تضمین امنیت سرور کافی نیست، اما در کنار راهکارهایی مانند AIDE، Fail2Ban، ClamAV و مانیتورینگ منظم لاگ‌ها، می‌تواند بخشی مهم از راهبرد امنیتی یک سرور لینوکسی باشد.

کیان پور