Как снова доверять операционной системе. Поиск следов компрометации. Анализ ВПО

[maxzhurkin]

TL;DR: никак.
Нельзя доверять скомпрометированной системе.
Совсем.
Лучше ещё не доверять и нескомпрометированной системе, но это сложнее.
Впрочем, статья и не пытается ответить на вопрос из заголовка

[yleo]

Камрады, начинание хорошее, но пожалуйста сорожнее.
Одно дело, когда отучившиеся ничего сломать не могут — это хорошо.
Но плохо когда они собираются что-то защищать и с полной уверенностью дают гарантии недопонимающим админам и руководителям, а после еще и переходят на реально ответственные позиции.

[MarvinD]

Приехали. Попадешь на таких безопасников…
1) скомпрометированой системе доверять нельзя. Точка. Можно сделать неверный вывод о компрометации (не понял лог, забыл что-то и т.п.). Но если есть реальные подозрения на компрометацию — все, привет.
2) такой громкий заголовок, что я даже удивился — во-первых, на Хабре это заявлять странно немного, а во-вторых, это тема даже не статьи — книги или целых курсов.
3) имхо, начинать надо бы с того, что если изначально не было системы сохранения и сравнения хешей файлов (всех), то — см. п. 1.
4) и сразу после этого говорить про то, как на чистой и свежей системе (а не через 6 мес продакшена) настроить систему сравнения хешей файлов.
5) а следы чего-то конкретного искать — ну блин это не с таким заголовком выступать надо.

Простите, я редко так. Устал, может.