Seguridad en Unix y redes - Algunos archivos de log

En función de la configuración del sistema de auditoría de cada equipo Unix los eventos que sucedan en la máquina se registrarán en determinados ficheros; aunque podemos loggear en cualquier fichero (incluso a través de la red o en dispositivos, como ya hemos comentado y luego veremos con mayor detalle), existen ciertos archivos de registro `habituales' en los que se almacena información. A continuación vamos a comentar los más comunes y la información que registra cada uno de ellos.

El archivo syslog (guardado en /var/adm/ o /var/log/) es quizás el fichero de log más importante del sistema; en él se guardan, en texto claro, mensajes relativos a la seguridad de la máquina, como los accesos o los intentos de acceso a ciertos servicios. No obstante, este fichero es escrito por syslogd, por lo que dependiendo de nuestro fichero de configuración encontraremos en el archivo una u otra información. Al estar guardado en formato texto, podemos visualizar su contenido con un simple cat:

anita:/# cat /var/log/syslog Mar 5 04:15:23 anita in.telnetd[11632]: connect from localhost Mar 5 06:16:52 anita rpcbind: connect from 127.0.0.1 to getport(R ) Mar 5 06:16:53 anita last message repeated 3 times Mar 5 06:35:08 anita rpcbind: connect from 127.0.0.1 to getport(R ) Mar 5 18:26:56 anita rpcbind: connect from 127.0.0.1 to getport(R ) Mar 5 18:28:47 anita last message repeated 1 time Mar 5 18:32:43 anita rpcbind: connect from 127.0.0.1 to getport(R ) Mar 6 02:30:26 anita rpcbind: connect from 127.0.0.1 to getport(R ) Mar 6 03:31:37 anita rpcbind: connect from 127.0.0.1 to getport(R ) Mar 6 11:07:04 anita in.telnetd[14847]: connect from rosita Mar 6 11:40:43 anita in.telnetd[14964]: connect from localhost anita:/#

En este archivo de texto se almacenan datos `informativos' de ciertos programas, mensajes de baja o media prioridad destinados más a informar que a avisar de sucesos importantes, como información relativa al arranque de la máquina; no obstante, como sucedía con el fichero syslog, en función de /etc/syslog.conf podremos guardar todo tipo de datos. Para visualizar su contenido es suficiente una orden como cat o similares:

anita:/# head -70 /var/adm/messages Jan 24 18:09:54 anita unix: SunOS Release 5.7 Version Generic [UNIX(R) System V Release 4.0] Jan 24 18:09:54 anita unix: Copyright (c) 1983-1998, Sun Microsystems, Inc. Jan 24 18:09:54 anita unix: mem = 65152K (0x3fa0000) Jan 24 18:09:54 anita unix: avail mem = 51167232 Jan 24 18:09:54 anita unix: root nexus = i86pc Jan 24 18:09:54 anita unix: isa0 at root Jan 24 18:09:54 anita unix: pci0 at root: space 0 offset 0 Jan 24 18:09:54 anita unix: IDE device at targ 0, lun 0 lastlun 0x0 Jan 24 18:09:54 anita unix: model WDC WD84AA, stat 50, err 0 Jan 24 18:09:54 anita unix: cfg 0x427a, cyl 16383, hd 16, sec/trk 63 Jan 24 18:09:54 anita unix: mult1 0x8010, mult2 0x110, dwcap 0x0, cap 0x2f00 Jan 24 18:09:54 anita unix: piomode 0x280, dmamode 0x0, advpiomode 0x3 Jan 24 18:09:54 anita unix: minpio 120, minpioflow 120 Jan 24 18:09:54 anita unix: valid 0x7, dwdma 0x7, majver 0x1e Jan 24 18:09:54 anita unix: ata_set_feature: (0x66,0x0) failed Jan 24 18:09:54 anita unix: ATAPI device at targ 1, lun 0 lastlun 0x0 Jan 24 18:09:54 anita unix: model CD-ROM 50X, stat 50, err 0 Jan 24 18:09:54 anita unix: cfg 0x85a0, cyl 0, hd 0, sec/trk 0 Jan 24 18:09:54 anita unix: mult1 0x0, mult2 0x0, dwcap 0x0, cap 0xf00 Jan 24 18:09:54 anita unix: piomode 0x400, dmamode 0x200, advpiomode 0x3 Jan 24 18:09:54 anita unix: minpio 227, minpioflow 120 Jan 24 18:09:54 anita unix: valid 0x6, dwdma 0x107, majver 0x0 Jan 24 18:09:54 anita unix: PCI-device: ata@0, ata0 Jan 24 18:09:54 anita unix: ata0 is /pci@0,0/pci-ide@7,1/ata@0 Jan 24 18:09:54 anita unix: Disk0: <Vendor 'Gen-ATA ' Product 'WDC WD84AA '> Jan 24 18:09:54 anita unix: cmdk0 at ata0 target 0 lun 0 Jan 24 18:09:54 anita unix: cmdk0 is /pci@0,0/pci-ide@7,1/ata@0/cmdk@0,0 Jan 24 18:09:54 anita unix: root on /pci@0,0/pci-ide@7,1/ide@0/cmdk@0,0:a fstype ufs Jan 24 18:09:54 anita unix: ISA-device: asy0 Jan 24 18:09:54 anita unix: asy0 is /isa/asy@1,3f8 Jan 24 18:09:54 anita unix: ISA-device: asy1 Jan 24 18:09:54 anita unix: asy1 is /isa/asy@1,2f8 Jan 24 18:09:54 anita unix: ISA-device: asy2 Jan 24 18:09:54 anita unix: asy2 is /isa/pnpSUP,1670@pnpSUP,1670,7ec2 Jan 24 18:09:54 anita unix: Number of console virtual screens = 13 Jan 24 18:09:54 anita unix: cpu 0 initialization complete - online Jan 24 18:09:54 anita unix: dump on /dev/dsk/c0d0s1 size 86 MB Jan 24 18:09:55 anita unix: pseudo-device: pm0 Jan 24 18:09:55 anita unix: pm0 is /pseudo/pm@0 Jan 24 18:09:56 anita unix: pseudo-device: vol0 Jan 24 18:09:56 anita unix: vol0 is /pseudo/vol@0 Jan 24 18:09:57 anita icmpinfo: started, PID=213. Jan 24 18:09:57 anita unix: sd1 at ata0: Jan 24 18:09:57 anita unix: target 1 lun 0 Jan 24 18:09:57 anita unix: sd1 is /pci@0,0/pci-ide@7,1/ata@0/sd@1,0 Jan 24 18:10:03 anita icmpinfo: ICMP_Dest_Unreachable[Port] < 127.0.0.1 [localhost] > 127.0.0.1 [localhost] sp=1664 dp=3200 seq=0x002e0000 sz=74(+20) Jan 24 18:10:03 anita unix: ISA-device: fdc0 Jan 24 18:10:03 anita unix: fd0 at fdc0 Jan 24 18:10:03 anita unix: fd0 is /isa/fdc@1,3f0/fd@0,0 Jan 24 18:10:04 anita icmpinfo: ICMP_Dest_Unreachable[Port] < 127.0.0.1 [localhost] > 127.0.0.1 [localhost] sp=2944 dp=161 seq=0x00420000 sz=92(+20) Jan 24 18:10:05 anita unix: ISA-device: asy0 Jan 24 18:10:05 anita unix: asy0 is /isa/asy@1,3f8 Jan 24 18:10:05 anita unix: ISA-device: asy1 Jan 24 18:10:05 anita unix: asy1 is /isa/asy@1,2f8 Jan 24 18:10:05 anita unix: ISA-device: asy2 Jan 24 18:10:05 anita unix: asy2 is /isa/pnpSUP,1670@pnpSUP,1670,7ec2 an 24 18:10:08 anita icmpinfo: ICMP_Dest_Unreachable[Port] < 127.0.0.1 [localhost] > 127.0.0.1 [localhost] sp=32780 dp=162 seq=0x00370000 sz=83(+20) Jan 24 18:10:35 anita unix: pseudo-device: xsvc0 Jan 24 18:10:35 anita unix: xsvc0 is

Este archivo es un fichero binario (no se puede leer su contenido directamente volcándolo con cat o similares) que almacena información relativa a cada conexión y desconexión al sistema. Podemos ver su contenido con órdenes como last:

anita:/# last -10 toni pts/11 localhost Mon Mar 6 11:07 - 11:07 (00:00) toni pts/11 rosita Sun Mar 5 04:22 - 04:25 (00:03) ftp ftp andercheran.aiin Sun Mar 5 02:30 still logged in ftp ftp andercheran.aiin Sun Mar 5 00:28 - 02:30 (02:01) ftp ftp anita Thu Mar 2 03:02 - 00:28 (2+21:25) ftp ftp anita Thu Mar 2 03:01 - 03:02 (00:00) ftp ftp localhost Thu Mar 2 02:35 - 03:01 (00:26) root console Thu Mar 2 00:13 still logged in reboot system boot Thu Mar 2 00:12 root console Wed Mar 1 06:18 - down (17:54) anita:/#

Los registros guardados en este archivo (y también en el fichero utmp) tienen el formato de la estructura utmp, que contiene información como el nombre de usuario, la línea por la que accede, el lugar desde donde lo hace y la hora de acceso; se puede consultar la página de manual de funciones como getutent() para ver la estructura concreta en el clon de Unix en el que trabajemos. Algunas variantes de Unix (como Solaris o IRIX) utilizan un fichero wtmp extendido denominado wtmpx, con campos adicionales que proporcionan más información sobre cada conexión.

El archivo utmp es un fichero binario con información de cada usuario que está conectado en un momento dado; el programa /bin/login genera un registro en este fichero cuando un usuario conecta, mientras que init lo elimina cuando desconecta. Aunque habitualmente este archivo está situado en /var/adm/, junto a otros ficheros de log, es posible encontrar algunos Unices - los más antiguos - que lo situan en /etc/. Para visualizar el contenido de este archivo podemos utilizar órdenes como last (indicando el nombre de fichero mediante la opción -f), w o who:

anita:/# who root console Mar 2 00:13 root pts/2 Mar 3 00:47 (unix) root pts/3 Mar 2 00:18 (unix) root pts/5 Mar 2 00:56 (unix) root pts/6 Mar 2 02:23 (unix:0.0) root pts/8 Mar 3 00:02 (unix:0.0) root pts/7 Mar 2 23:43 (unix:0.0) root pts/9 Mar 3 00:51 (unix) root pts/10 Mar 6 00:23 (unix) anita:/#

Como sucedía con wtmp, algunos Unices utilizan también una versión extendida de utmp (utmpx) con campos adicionales.

El archivo lastlog es un fichero binario guardado generalmente en /var/adm/, y que contiene un registro para cada usuario con la fecha y hora de su última conexión; podemos visualizar estos datos para un usuario dado mediante órdenes como who o finger:

anita:/# finger toni Login name: toni In real life: Toni at ANITA Directory: /export/home/toni Shell: /bin/sh Last login Mon Mar 6 11:07 on pts/11 from localhost No unread mail No Plan. anita:/#

Este fichero es equivalente al anterior, pero en lugar de guardar información sobre la fecha y hora del último acceso al sistema lo hace del último intento de acceso de cada usuario; una conexión es fallida si el usuario (o alguien en su lugar) teclea incorrectamente su contraseña. Esta información se muestra la siguiente vez que dicho usuario entra correctamente a la máquina: andercheran login: toni Password: Linux 2.0.33. 1 failure since last login. Last was 14:39:41 on ttyp9. Last login: Wed May 13 14:37:46 on ttyp9 from pleione.cc.upv.es. andercheran:~$

Si en algunas versiones de Unix (como Solaris) creamos el archivo /var/adm/loginlog (que originalmente no existe), se registrarán en él los intentos fallidos de login, siempre y cuando se produzcan cinco o más de ellos seguidos:

anita:/# cat /var/adm/loginlog toni:/dev/pts/6:Thu Jan 6 07:02:53 2000 toni:/dev/pts/6:Thu Jan 6 07:03:00 2000 toni:/dev/pts/6:Thu Jan 6 07:03:08 2000 toni:/dev/pts/6:Thu Jan 6 07:03:37 2000 toni:/dev/pts/6:Thu Jan 6 07:03:44 2000 anita:/#

En algunos clones de Unix, como Linux o HP-UX, el fichero btmp se utiliza para registrar las conexiones fallidas al sistema, con un formato similar al que wtmp utiliza para las conexiones que han tenido éxito:

andercheran:~# last -f /var/adm/btmp |head -7 pnvarro ttyq1 term104.aiind.up Wed Feb 9 16:27 - 15:38 (23:11) jomonra ttyq2 deportes.etsii.u Fri Feb 4 14:27 - 09:37 (9+19:09) PNAVARRO ttyq4 term69.aiind.upv Wed Feb 2 12:56 - 13:09 (20+00:12) panavarr ttyq2 term180.aiind.up Fri Jan 28 12:45 - 14:27 (7+01:42) vbarbera ttyp0 daind03.etsii.up Thu Jan 27 20:17 still logged in pangel ttyq1 agarcia2.ter.upv Thu Jan 27 18:51 - 16:27 (12+21:36) abarra ttyp0 dtra-51.ter.upv. Thu Jan 27 18:42 - 20:17 (01:34) andercheran:~#

Este es un fichero de texto donde se registran las ejecuciones de la orden su, indicando fecha, hora, usuario que lanza el programa y usuario cuya identidad adopta, terminal asociada y éxito (`+') o fracaso (`-') de la operación:

anita:/# head -4 /var/adm/sulog SU 12/27 07:41 + console root-toni SU 12/28 23:42 - vt01 toni-root SU 12/28 23:43 + vt01 toni-root SU 12/29 01:09 + vt04 toni-root anita:/#

El registro de las invocaciones a la orden su puede estar deshabilitado por defecto en algunos sistemas Unix: por ejemplo, en Solaris es necesario crear manualmente el fichero /var/adm/sulog, mientras que en algunas distribuciones de Linux es necesario modificar el archivo /etc/login.defs para habilitar el registro de la actividad, tal y como veremos en el capítulo dedicado a este clon de Unix. De esta forma, al instalar el sistema, y antes de pasarlo a un entorno de producción, quizás nos interese asegurarnos de que estamos guardando todos los cambios de identidad que se producen en la máquina a través de su.

En este archivo de texto se registra información de depuración (de debug) de los programas que se ejecutan en la máquina; esta información puede ser enviada por las propias aplicaciones o por el núcleo del sistema operativo:

luisa:~# tail -8 /var/adm/debug Dec 17 18:51:50 luisa kernel: ISO9660 Extensions: RRIP_1991A Dec 18 08:15:32 luisa sshd[3951]: debug: sshd version 1.2.21 [i486-unknown-linux] Dec 18 08:15:32 luisa sshd[3951]: debug: Initializing random number generator; seed file /etc/ssh_random_seed Dec 18 08:15:32 luisa sshd[3951]: debug: inetd sockets after dupping: 7, 8 Dec 18 08:15:34 luisa sshd[3951]: debug: Client protocol version 1.5; client software version 1.2.21 Dec 18 08:15:34 luisa sshd[3951]: debug: Calling cleanup 0x800cf90(0x0) Dec 18 16:33:59 luisa kernel: VFS: Disk change detected on device 02:00 Dec 18 23:41:12 luisa identd[2268]: Successful lookup: 1593 , 22 : toni.users luisa:~#