基于签名的rootkit扫描器？

Question

目前我所知道的唯一的 rootkit 扫描器必须在 rootkit 之前安装在机器上，以便它们可以比较文件更改等（例如：chkrootkit和rkhunter），但我真正需要做的是能够扫描我的机器和其他机器来自 LiveUSB，因为如果 rootkit 足够好，那么它也会接管 rootkit 检测程序。

那么是否有一个基于签名的 Ubuntu/Linux Rootkit 扫描器，我可以将它安装在 LiveUSB 上并用于可靠地扫描我插入它的机器，而无需监控行为或比较以前日期的文件？

Answer 1

AIDE（高级入侵者检测环境tripwire）是此处另一个答案中提到的替代品。来自维基百科：

高级入侵检测环境 (AIDE) 最初是作为 Tripwire 的免费替代品而开发的，并根据 GNU 通用公共许可证 (GPL) 的条款获得许可。

主要开发人员分别为坦佩雷理工大学的 Rami Lehti 和 Pablo Virolainen，以及荷兰独立安全顾问 Richard van den Berg。该项目在许多类 Unix 系统上用作廉价的基线控制和 rootkit 检测系统。

功能性

AIDE 拍摄系统状态、寄存器哈希值、修改时间以及有关管理员定义的文件的其他数据的“快照”。该“快照”用于构建被保存的数据库，并且可以存储在外部设备上以供妥善保管。

当管理员想要运行完整性测试时，管理员将先前构建的数据库放置在可访问的位置，并命令AIDE将数据库与系统的真实状态进行比较。如果在快照创建和测试之间计算机发生变化，AIDE 将检测到该变化并将其报告给管理员。或者，可以将 AIDE 配置为按计划运行并使用 cron 等计划技术每天报告更改，这是 Debian AIDE 软件包的默认行为。2

这主要用于安全目的，因为 AIDE 会报告系统内部可能发生的任何恶意更改。

自维基百科文章撰写以来，现任维护者Richard van den Berg （2003-2010 年）从 2010 年至今已被新维护者Hannes von Haugwitz取代。

AIDE主页声明支持 Debian，这意味着该应用程序可以通过以下断言安装在 ubuntu 中：

sudo apt install aide

至于便携性和 USB 笔驱动器支持，主页继续说道：

它根据从配置文件中找到的正则表达式规则创建数据库。一旦该数据库被初始化，它就可以用于验证文件的完整性。它有几种消息摘要算法（见下文），用于检查文件的完整性。还可以检查所有常见的文件属性是否存在不一致。它可以读取旧版本或新版本的数据库。有关详细信息，请参阅发行版中的手册页。

对我来说，这意味着您可以将签名数据库存储在笔式驱动器上，并将应用程序存储在实时 USB 持久存储中。我不确定 AIDE 是否适合您的需求，但由于它是tripwire您当前最喜欢的产品的替代品，因此值得研究。