Una delle responsabilità chiave dei CISO è garantire l’integrità dei sistemi, prevenendo intrusioni e identificando tempestivamente eventuali compromissioni. In ambienti Linux, uno strumento fondamentale per questo scopo è Rootkit Hunter (rkhunter).
Cos’è rkhunter?
Rootkit Hunter (rkhunter) è un tool open-source progettato per rilevare rootkit, backdoor e exploit locali nei sistemi Linux/Unix. Utilizza tecniche di rilevamento basate su firme, anomalie e controlli di integrità per identificare comportamenti sospetti che potrebbero indicare una compromissione del sistema.
Il tool è scritto in shell script, il che lo rende estremamente portabile e compatibile con quasi tutte le distribuzioni Linux.
Perché è importante per i CISO?
Per un CISO, strumenti come rkhunter non sono semplici utility tecniche, ma rappresentano componenti strategici della difesa proattiva. Un rootkit installato su un sistema compromesso può restare nascosto anche ad antivirus avanzati, consentendo a un attaccante di mantenere il controllo e nascondere le sue tracce. Rkhunter è progettato per identificare proprio queste situazioni.
Tra le funzionalità chiave che lo rendono rilevante in un contesto enterprise troviamo:
- Controllo dell’integrità dei file di sistema (basato su checksum MD5)
- Confronto di permessi e proprietà sospette
- Scansione di porte nascoste, moduli kernel non standard o caricati in modo anomalo
- Identificazione di binari compromessi
- Segnalazione di anomalie nei file di log o nella configurazione del sistema
Come funziona rkhunter?
Rkhunter lavora in tre fasi principali:
- Database di base
- Durante l’installazione, rkhunter costruisce un database dei file considerati legittimi e dei loro hash MD5.
- Questo database è usato come baseline per i controlli successivi.
- Scansione
- Esegue il controllo su file di sistema critici, directory sospette, firme di rootkit conosciuti e comportamenti anomali.
- I risultati vengono confrontati con le informazioni di baseline.
- Report
- Al termine, genera un report dettagliato, che può essere analizzato manualmente o integrato in un SIEM per automazione e alerting.
Installazione e utilizzo
Su Debian/Ubuntu:
sudo apt update
sudo apt install rkhunter
Su CentOS/RHEL:
sudo yum install epel-release
sudo yum install rkhunter
Inizializzazione:
sudo rkhunter --update
sudo rkhunter --propupd # Crea il database iniziale dei file "puliti"
Esecuzione della scansione:
sudo rkhunter --check
Esecuzione automatizzata (es. via cron):
È possibile pianificare la scansione quotidiana e inviare notifiche e-mail:
0 3 * * * /usr/bin/rkhunter --check --sk > /dev/null 2>&1
Integrazione con strumenti di sicurezza
Per aziende con infrastrutture articolate, rkhunter può essere integrato con:
- SIEM (come Splunk, Graylog, Wazuh)
- Sistemi di ticketing per l’apertura automatica di incidenti
- Sistemi di monitoraggio centralizzato (Nagios, Zabbix, ecc.)
Un CISO può così automatizzare il flusso di rilevamento e risposta agli alert, riducendo il tempo medio di reazione (MTTR) in caso di compromissioni.
Limitazioni
Va sottolineato che, nonostante la sua utilità, rkhunter non sostituisce un IDS o un EDR moderno, ma li complementa. Non è progettato per attacchi live o zero-day, ma è estremamente efficace contro compromissioni che si basano su file modificati o rootkit noti.
Alcune limitazioni da considerare:
- Possibili falsi positivi (es. dopo aggiornamenti di sistema)
- Manca un’interfaccia grafica nativa
- Non monitora i sistemi in tempo reale
Best Practice per i CISO
- Automatizzare la scansione giornaliera e inviare gli alert a un sistema centralizzato.
- Aggiornare regolarmente il database delle firme e degli hash.
- Verificare manualmente eventuali alert critici.
- Combinare rkhunter con auditd o strumenti come Lynis, chkrootkit, AIDE.
- Non fidarsi ciecamente dell’output: se un attaccante ha compromesso il sistema a basso livello, anche rkhunter potrebbe essere eluso.
Conclusioni
Strumenti leggeri ma affidabili come rkhunter rappresentano una prima linea di difesa fondamentale. Per i CISO, integrarli in una strategia di difesa multilivello è essenziale per mantenere la visibilità e la resilienza dei sistemi Linux aziendali.
Pur non essendo l’unico strumento da adottare, rkhunter merita un posto nella toolbox di ogni responsabile della sicurezza IT. Il suo basso impatto e l’elevata efficacia lo rendono particolarmente utile per audit periodici, conformità e monitoraggio passivo.
