CentOS и безопасность

Случилось так, что не так давно, достался мне по наследству от старого админа дедик в США. И вот не задача, дедик этот хакают? Какой-то упырь из Турции... В логах тишина, их просто тупо нет, сервисы не работоспособны, да и фиг с ними, а вот вопросы-то остались, и от них никуда не убежишь... Итак, вопросы следующие:
1. Логично предположить, что хакер, заваливший систему понапихал бекдоров и прочего. Как искать, подозрительного ничего не увидел...
2. Как себя обезопасить? На файрволле итак закрыто все что можно и нельзя...
3. Существуют ли методы аудита безопасности Linux систем? Поделитесь опытом...

С уважением, Я.

malkovdv написал:

1. Логично предположить, что хакер, заваливший систему понапихал бекдоров и прочего. Как искать, подозрительного ничего не увидел...

И не увидишь. Хороший хакер прежде всего озабоится об сокрытии своего присутствия.

malkovdv написал:

2. Как себя обезопасить? На файрволле итак закрыто все что можно и нельзя...

Это только первый шаг.
Второй - выключи явно все сервисы, которые включены и назначение которых ты не знаешь. Выключи явно все сервисы, назначение которых ты знаешь, но полагаешь, что они тебе в данный момент не нужны. То есть "минимизируй" систему.
Третий - выключи на файрволе явно вообще весь трафик, как входящий, так и исходящий, кроме ssh, а его, sshd, переведи на иной порт. Всё остальное - регистрируй. Подозрительная активность выявится сразу.
По этой активности - принимай решение допустим ли трафик или от злыдня какого идет. Если от злыдня - прибивай приложение.

malkovdv написал:

3. Существуют ли методы аудита безопасности Linux систем? Поделитесь опытом...

Тихо стучащий в соседней (запертой тобой) комнате принтер - вот основа компьютерной безопасности. А дальше - читать логи и думать.
Под "принтером" можно понимать и отдельный syslog-компьютер (компьютер, на которые все сообщения syslog'а отливаются принудительно, по мере их появления).

В дополнение - снеси и установи заново все приложения которые используются на сервере.
А которые не используются просто снеси.
Естественно заново перековырять каждый конфиг.
Ну и не забываем менять пароли.

Таки ковырял-ковырял и нашел дыручерез которую упырь влез в систему... Старый, давно не обновляемы vbulletein... Через него-то и был влит shell ... Только толи хакер ступил, толи забыл, но весь вой инструментарий так и оставил в папке с воблой... Интересно таки... А по поводу всего вышенаписанного вами, так я сделал следующее... Стопорнул все VE на сервера, обновил host-систему, обновил ядра на всех VE, похаканную VE тупо удалил, создал новую, оставил доступными порты 80 и 2222, при чем логин порт 2222 разрешил только с известных ip, лигин root-а по ssh запретил... Далее в iptables запрещен весь трафик по всем портам, кроме 80 и 2222, ну и соответсвенно обновлены все веб приложения...

Гость ещё стучится?

Нет... Гость больше не стучится... Гость тупо бил на результат... Если посмотерть его статистику, то в день он подламывал по 100-150 серверов... И что самое примечательное, после его атак сервера все в дауне! Вот его статистика http://www.zone-h.org/archive/notifier=AlpTeqin Интересно даже, у человека походу большие проблемы с головой\самооценкой\не дают , или это просто такой фанатик...