Před zahájením kurzu připravili jsme překlad zajímavého materiálu.
AIDE znamená „Advanced Intrusion Detection Environment“ (vylepšené prostředí pro detekci narušení) — je jedním z nejpopulárnějších systémů pro monitorování změn v operačních systémech založených na Linuxu. AIDE se používá k ochraně před malwarem, viry a k detekci neoprávněných akcí. Pro kontrolu integrity souborů a detekci narušení AIDE vytváří databázi informací o souborech a porovnává aktuální stav systému s touto databází. AIDE pomáhá zkrátit čas vyšetřování incidentů tím, že se zaměřuje na soubory, které byly změněny.
Možnosti AIDE:
- Podpora různých atributů souborů, včetně: typu souboru, inode, uid, gid, oprávnění, počtu odkazů, mtime, ctime a atime.
- Podpora komprese Gzip, SELinux, XAttrs, Posix ACL a atributů souborového systému.
- Podpora různých algoritmů, včetně md5, sha1, sha256, sha512, rmd160, crc32 atd.
- Odesílání upozornění e-mailem.
V tomto článku se podíváme na to, jak nainstalovat a používat AIDE pro detekci narušení na CentOS 8.
Požadavky
- Server běžící na CentOS 8, minimálně s 2 GB RAM.
- root přístup
Začínáme
Nejprve se doporučuje aktualizovat systém. Pro to spusťte následující příkaz.
dnf update -yPo aktualizaci restartujte systém, aby se změny projevily.
Instalace AIDE
AIDE je k dispozici v základním repozitáři CentOS 8. Můžete jej snadno nainstalovat pomocí následujícího příkazu:
dnf install aide -yPo dokončení instalace můžete zobrazit verzi AIDE pomocí následujícího příkazu:
aide --versionMěli byste vidět následující:
Aide 0.16
Sestaveno s následujícími možnostmi:
WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf" Dostupné parametry aide můžete zobrazit následujícím způsobem:
aide --help 
Vytvoření a inicializace databáze
První, co musíte udělat po instalaci AIDE, je jej inicializovat. Inicializace spočívá ve vytvoření databáze (snapshotu) všech souborů a adresářů serveru.
Pro inicializaci databáze spusťte následující příkaz:
aide --initMěli byste vidět následující:
Časové razítko začátku: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE inicializoval databázi v /var/lib/aide/aide.db.new.gz
Počet záznamů: 49472
---------------------------------------------------
Atributy (dekomprimovaných) databází:
---------------------------------------------------
/var/lib/aide/aide.db.new.gz
MD5 : 4N79P7hPE2uxJJ1o7na9sA==
SHA1 : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
RMD160 : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
TIGER : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
SHA256 : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
xWXT2iaEHgQ=
SHA512 : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
nDw6lgDNI/ls2esijukliQ==
Časové razítko konce: 2020-01-16 03:03:44 -0500 (doba běhu: 0m 25s) Výše uvedený příkaz vytvoří novou databázi aide.db.new.gz ve složce /var/lib/aide. Můžete ji zobrazit pomocí následujícího příkazu:
ls -l /var/lib/aideResult:
celkem 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz AIDE nebude používat tento nový soubor databáze, dokud nebude přejmenován na aide.db.gz. Můžete to udělat následujícím způsobem:
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gzDoporučuje se tuto databázi pravidelně aktualizovat, aby se zajistil nezbytný monitoring změn.
Umístění databáze lze změnit úpravou parametru DBDIR v souboru /etc/aide.conf.
Spuštění kontroly
Nyní je AIDE připraveno používat novou databázi. Spusťte první kontrolu AIDE bez jakýchkoli změn:
aide --checkProvedení tohoto příkazu zabere nějaký čas v závislosti na velikosti vašeho souborového systému a objemu operační paměti na vašem serveru. Po dokončení kontroly byste měli vidět následující:
Časové razítko začátku: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE nenašel žádné rozdíly mezi databází a souborovým systémem. Vypadá to v pořádku!!Výstup výše uvedeného příkazu říká, že všechny soubory a adresáře odpovídají databázi AIDE.
Testování AIDE
Ve výchozím nastavení AIDE nesleduje výchozí kořenový adresář Apache /var/www/html. Pojďme nakonfigurovat AIDE, aby ho sledovalo. K tomu je třeba upravit soubor /etc/aide.conf.
nano /etc/aide.conf Přidejte nad řádek "/root/CONTENT_EX" následující:
/var/www/html/ CONTENT_EX Nyní vytvořte soubor aide.txt ve složce /var/www/html/, použitím následujícího příkazu:
echo "Test AIDE" > /var/www/html/aide.txtNyní spusťte kontrolu AIDE a ujistěte se, že vytvořený soubor bude nalezen.
aide --checkMěli byste vidět následující:
Časové razítko začátku: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE našel rozdíly mezi databází a souborovým systémem!!
Shrnutí:
Celkový počet záznamů: 49475
Přidané záznamy: 1
Odebrané záznamy: 0
Změněné záznamy: 0
---------------------------------------------------
Přidané záznamy:
---------------------------------------------------
f++++++++++++++++: /var/www/html/aide.txt Vidíme, že vytvořený soubor byl nalezen aide.txt.
Po analýze zjištěných změn aktualizujte databázi AIDE.
aide --updatePo aktualizaci byste měli vidět následující:
Časové razítko: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE našel rozdíly mezi databází a souborovým systémem!!
Nová AIDE databáze byla zapsána do /var/lib/aide/aide.db.new.gz
Shrnutí:
Celkový počet položek: 49475
Přidané položky: 1
Odebrané položky: 0
Změněné položky: 0
---------------------------------------------------
Přidané položky:
---------------------------------------------------
f++++++++++++++++: /var/www/html/aide.txt Výše uvedený příkaz vytvoří novou databázi aide.db.new.gz ve složce
/var/lib/aide/Můžete ji zobrazit pomocí následujícího příkazu:
ls -l /var/lib/aide/Result:
celkem 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gzNyní přejmenujte novou databázi znovu, aby AIDE pro sledování dalších změn používal novou databázi. Přejmenovat můžete následujícím způsobem:
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gzSpusťte kontrolu znovu, abyste se ujistili, že AIDE používá novou databázi:
aide --checkMěli byste vidět následující:
Časové razítko: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE nenašel žádné rozdíly mezi databází a souborovým systémem. Vypadá to v pořádku!!Automatizace kontroly
Je dobrý nápad spouštět kontrolu AIDE každý den a posílat zprávu e-mailem. Tento proces lze automatizovat pomocí cron.
nano /etc/crontabPro spuštění kontroly AIDE každý den v 10:15 přidejte na konec souboru následující řádek:
15 10 * * * root /usr/sbin/aide --checkNyní vás AIDE upozorní e-mailem. Zprávy si můžete zkontrolovat následujícím příkazem:
tail -f /var/mail/rootLog AIDE si lze prohlédnout pomocí následujícího příkazu:
tail -f /var/log/aide/aide.logZávěr
V tomto článku jste se naučili, jak používat AIDE k odhalení změn souborů a identifikaci neoprávněného přístupu k serveru. Pro další nastavení můžete změnit konfigurační soubor /etc/aide.conf. Z bezpečnostních důvodů se doporučuje uchovávat databázi a konfigurační soubor na médiu dostupném pouze pro čtení. Další informace naleznete v dokumentaci. .
Zdroj: habr.com
