我想要将chkrootkit的一些误报加入“白名单”,因此我希望使用/etc/chkrootkit.conf作为“白名单”。
但是这样做并不起作用: RUN_DAILY_OPTS="-q -e '/sbin/init /sbin/dhclient'"
我仍然收到以下误报:
警告:/sbin/init被感染 eth0:数据包嗅探器(/sbin/dhclient(已删除)[...])
我知道这不是真正的白名单,但是误报不应该每天给我发送电子邮件。 chkrootkit版本0.49
但是这样做并不起作用: RUN_DAILY_OPTS="-q -e '/sbin/init /sbin/dhclient'"
我仍然收到以下误报:
警告:/sbin/init被感染 eth0:数据包嗅探器(/sbin/dhclient(已删除)[...])
我知道这不是真正的白名单,但是误报不应该每天给我发送电子邮件。 chkrootkit版本0.49
/etc/cron.daily/chkrootkit
中的IGNORE
变量,您可以在其中提供自己的过滤/忽略文件。请参阅 https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=660998 - MossroyIGNORE
而不是FILTER
)。它过滤/忽略chkrootkit的输出行,而不是文件本身。默认情况下,它是安全的,因为该变量指向/dev/null。我不明白它如何破坏chkrootkit的目的:在所有情况下,选择正确的忽略规则是管理员的责任。 - Mossroyfind: '/proc/24157': No such file or directory
,我还在/etc/cron.daily/chkrootkit
中将eval $CHKROOTKIT $RUN_DAILY_OPTS
的两个出现替换为eval $CHKROOTKIT $RUN_DAILY_OPTS 2>&1
,并在忽略/过滤文件中添加了^[ \t]*find: '/proc/[0-9]+': No such file or directory[ \t]*$
。 - Mossroy