¿El malware detectaría el uso de Tripwire en un sistema?
Si bien un sistema asegurado adecuadamente dificultaría la detección de medidas de seguridad del sistema como Tripwire, creo que una pieza sofisticada de malware podría detectar la presencia de Tripwire u otro HIDS. Un programa como Tripwire no está necesariamente oculto, pero está protegido por controles de acceso del sistema operativo. Por ejemplo, eliminar otros permisos de lectura en el directorio / usr / local / tripwire no es tanto ocultar como proteger.
¿HIDS [ellos] toman medidas para esconderse y ocultarse?
Tripwire, excluyendo cómo un administrador lo configura en un sistema, no intenta ocultarse de la detección por malware. Tripwire encripta y autentica sus archivos de configuración y bases de datos. Una vez más, describiría esto como protección en lugar de esconderse.
¿Qué pasos podría tomar un atacante para detectarlos?
Depende del sistema y de las vulnerabilidades que tenga. Los ataques pueden ser muy ingeniosos y hacer cualquier cosa, desde explotar funciones específicas de la biblioteca, hasta usar canales de señalización no intencionados. Por ejemplo, un atacante desarrolló un método para determinar los caracteres de una contraseña mediante la supervisión de fallas de página .
"Digamos que un atacante logra terminar el proceso HIDS ... ¿informarán esto?"
Dependiendo de cómo se terminó el proceso, un HIDS puede o no registrar explícitamente la terminación inesperada. Sin embargo, un sistema configurado correctamente debe registrar explícitamente la terminación inesperada de un programa de seguridad. Incluso si el sistema no registraba explícitamente la terminación inesperada, el hecho sería fácilmente detectable por evidencia como un informe de auditoría faltante o incompleto.
"¿Puede un atacante simplemente terminar y luego reiniciar el proceso sin que esto quede reflejado en los registros?"
Si el sistema está configurado correctamente, generalmente no. Si el sistema mantuvo todos sus datos de auditoría y registro localmente, el atacante era sofisticado y el atacante realizó un compromiso de acceso completo, entonces sí, el atacante podría modificar los registros de HIDS para mostrar el funcionamiento normal.
"¿Qué pasa con las notificaciones ... se puede evitar que envíen notificaciones?"
Una vez más, depende del sistema, de cómo se construye su seguridad y de la sofisticación del atacante. Un HIDS puede configurarse para enviar correos electrónicos u otros tipos de notificaciones, y el sistema puede configurarse para proteger esas notificaciones.