LSAT(Linux Security Auditing Tool) 本地安全扫描程序的安装及使用

/* $Id$
*
* 标题：LSAT(Linux Security Auditing Tool) 本地安全扫描程序的安装及使用
* 时间：2004-10-10 08:33:21
*
* 作者：z33 <[e-mail]>
* 主页：http://www.pig8.com/bbs
* 转贴请保留此段内容，谢谢！
*/

LSAT是一个本地安全扫描程序，由Triode开发，主要针对基于RPM的Linux发布设计的。
先下载一个最新版的LSAT：
http://usat.sourceforge.net/code/

编译：
z33$ tar xzvf last-VERSION.tgz
z33$ cd lsat-VERSION
z33$ ./configure
z33$ make

以root身份运行：
root# ./lsat

默认会生成一份报告，名字叫lsat.out。
也可以指定一些选项：
-o filename 指定生成报告的文件名
-v 详细输出模式
-s 不在屏幕上打印任何信息，只生成报告。
-r 执行RPM校验和检查，找出找出默认内容和权限被改动的文件

下面是报告片断：

****************************************
Please consider removing these packages.

bind-utils-9.2.1-16
nfs-utils-1.0.1-2.9
ypbind-1.11-4
ypbind-1.11-4
redhat-config-nfs-1.0.4-5
sendmail-8.12.8-4
portmap-4.0-54
bind-9.2.1-16
redhat-config-bind-1.9.0-13
sendmail-cf-8.12.8-4

****************************************
Entries below shall be services in xinetd.d that
are not disabled.
Please verify that you do not want these disabled.
If nothing is listed below, all services in xinetd.d are disabled.

/etc/xinetd.d/sgi_fam:no

****************************************
Did not find only_from= in /etc/xinetd.conf.
Please add this to allow subnets that you want to give access to.


****************************************
Lines found in hosts.allow
Make sure you wish to allow the following:



****************************************
Did not find ALL:ALL in hosts.deny.
Lines found in hosts.deny:



****************************************
default init level is not set to 5. Good.


****************************************
_Looks_ like you are using the auth log facility
in syslog. Good.

****************************************
_Looks_ like you are using the authpriv log facility
in syslog. Good.

****************************************
This is a list of SUID files on the system:

/bin/ping
/bin/mount
/bin/umount
/bin/su
/sbin/pam_timestamp_check
/sbin/pwdb_chkpwd
/sbin/unix_chkpwd

****************************************
This is a list of SGID files/directories on the system:

/root/sendmail.bak
/root/mta.bak
/sbin/netreport

****************************************
List of normal files in /dev. MAKEDEV is ok, but there
should be no other files:

/dev/MAKEDEV
/dev/MAKEDEV.afa

****************************************
This is a list of world writable files

/etc/cron.daily/backup.sh
/etc/cron.daily/update_CDV.sh
/etc/megamonitor/monitor
/root/e
/root/pl/outfile


LSAT可以检查的内容很多,主要有:

• 检查无用的RPM安装
• 检查inetd和Xinetd和一些系统配置文件
• 检查SUID和SGID文件
• 检查777的文件
• 检查进程和服务
• 开放端口

更多的可以去LSAT的主页: http://usat.sf.net

结束语
LSAT的常用方法是用cron定期调用，然后用diff比较当前报告和以前报告的区别，就可以发现系统配置发生的变化。