Door Anoniem: Door Anoniem: Hebben jullie nog andere tips? Onze server is niet gehacked, maar wil wel weten hoe ik dit zou kunnen observeren indien dit wel het geval zou zijn. Dat doe je door met de Stealth file integrity checker onder de radar te gaan. Denk heel goed na over hoe je dat goed opzet. Win advies in van collega's die er ervaring mee hebben. Het alternatief is tripwire, ook een Debian pakket. https://fbb-git.gitlab.io/stealth/ https://packages.debian.org/stretch/stealth Vergeet niet een md5hash van de tripwire db (/var/lib/tripwire) te maken na elke tripwire --init en deze op te schrijven. Iemand met roottoegang kan je IDS ook gewoon validaten namelijk dus je merkt niets. Goede exploits laten niets achter in je syslog of in systemd logs. Rkhunter en chkrootkit zijn zeer oud en checken slechts op bekende (oude) rootkits en standaard dingen als open poorten, promisc mode van je NIC. Een goede moderne rootkit zit op kernel/module niveau en ook in de bootsector en zal geen Open poorten (TCP) ...