Dass chkrootkit sich nicht wirklich mittels whitelist für definitiv nicht infected ports was sagen lässt, ist ungreat. Das beste Beispiel (steht sogar in der chkrootkit FAQ):

/etc/cron.daily/chkrootkit:
INFECTED (PORTS: 465)