second commit

ansible/roles/os_hardening/tasks/rootkit_scan.yml

@@ -0,0 +1,24 @@
+---
+# Ergaenzender Rootkit-/Anomalie-Scanner (rkhunter). Kein Ersatz fuer AIDE
+# (dateibasierte Integritaet) oder auditd (Ereignisprotokoll), sondern eine
+# dritte, unabhaengige Kontrollschicht mit eigener Signaturheuristik.
+
+- name: rkhunter installieren
+  ansible.builtin.apt:
+    name: rkhunter
+    state: present
+    update_cache: true
+  when: os_hardening_rkhunter_enabled
+
+- name: rkhunter-Property-Datenbank initialisieren
+  ansible.builtin.command: rkhunter --propupd
+  when: os_hardening_rkhunter_enabled
+  changed_when: true
+
+- name: Woechentlichen rkhunter-Check per systemd-Timer aktivieren (Debian-Paket-Default nutzen)
+  ansible.builtin.lineinfile:
+    path: /etc/default/rkhunter
+    regexp: '^CRON_DAILY_RUN='
+    line: 'CRON_DAILY_RUN="true"'
+    create: true
+  when: os_hardening_rkhunter_enabled