Средства мониторинга за состоянием серверов с точки зрения секьюрности

Последний рубеж обороны после взлома сервера - пуля в голову старому сисадмину, найм нового и полный аудит системы, например - через livecd

+1

Хотя если проблема в "дрявых" скриптах, то валить нужно и программиста😂

Скрипты от рута запускаются? Нет? Ну и все!

tripwire-подобные системы, но для часто меняющегося контента это не очень осмысленно. Вот руткиты поймаются.

SNORT можно поставить, если есть возможность. Только всё это требует и знаний, и времени.

Pilat, если вирус действует на уровне биоса (а уже и такие есть), то tripwire не поможет

Предсказываю что с появлением вирусов в микрокоде дисковых контроллерах - уже ничто не поможет

Есть теория, а есть практика. На практике вирусов в биосе нет. Нет даже вирусов, вылезающих за пределы OpenVZ , так что tripwire вполне работоспособен. Другое дело, что следить за его отчётами кому-то надо.

Отчеты крайне желательно держать в отдельном месте и с уровнем добавления только append

Я с утра наверное неверно написал слегка.

Собственно вопрос был скорее в том, каким образом вы определяете, что пора пускать пулю в лоб сисадмина ? Т.е. факт удачного взлома. У меня крутится кое-где к примеру демон, который проверяет некоторые банальные вещи типа "чексумма таких-то файлов" и если не дай бог не совпадает, то начинает орать разными способами. Причем его жизнеспособность проверяется

снаружи, и просто так подделать ответ малореально.

Нет, все это конечно детский лепет, но хотя-бы нестандартный.

Вот думаю как усовершенствовать...

Если у злоумышленника хватит прав чтоб изменять рутовые файлы то кто ему помешает пристрелить демона?

Дык отстрел демона - сигнал о взломе тому, кто этого демона контролирует :).

Более того, "чужой" демон не сможет ответить как эталонный без довольно-таки большого гемороя.

(т.е. каждый раз они обмениваются разной информацией, надо реинжинирить, выдирать ключи итп,

он не ОК-неОК отвечает)