Last Loggin do Linux em branco.

Olá a todos do forum.

Estou preocupado com a seguinte situação: Essa semana notei que 2 servidores de ponta (firewall) meu estão com os arquivos last em branco. O lastlog aparentemente esta OK mas o last estavam totalmente zerado.

Isso seria algum indicio de invasão?

Pode ser um possível problema no app last do linux?

Como saber se posso ter sido invadido?

Linux: Linux ##### 2.6.32-5-686 #1 SMP Mon Jun 13 04:13:06 UTC 2011 i686 GNU/Linux
SSH : SSH-2.0-OpenSSH_5.5p1 Debian-6

Att

primeira coisa eh desconectar a maquina da rede, e depois analisar processos, arquivos, etc !!

eh uma coisa bem demorada que vai demandar conhecimento, experiencia e o pior de tudo.. TEMPO !!

Recomenda alguma ferramenta?

tem root kit hunter que faz uma busca pelos RK mais comuns.. ajuda tambem..

o que voce precisa fazer no novo servidor é instalar ferramentas que monitoram a alteração dos arquivos...

quando vc instala.. ele gera uma lista dos arquivos do HD com suas MD5 ... qualquer arquivo alterado (executavel) ele te notifica por email... se foi alteração intencional.. ok.. se nao foi.. algo esta errado ehhehe

Suggestions for file integrity monitoring?

Opa Show de bola.. Ja estou instalando um novo servidor...
Obrigado

Opa,e ai Rapaz, achou algum Rookit nessa maquina?