I anledning af starten på kurset har forberedt en oversættelse af interessant materiale.
AIDE står for “Advanced Intrusion Detection Environment” (avanceret system til detektering af indtrængen) — det er et af de mest populære systemer til overvågning af ændringer i operativsystemer baseret på Linux. AIDE bruges til at beskytte mod malware, vira og til at opdage uautoriserede handlinger. For at kontrollere filers integritet og opdage indtrængen opretter AIDE en database med oplysninger om filer og sammenligner den nuværende tilstand af systemet med denne database. AIDE hjælper med at reducere tid til efterforskning af hændelser ved at fokusere på de filer, der er blevet ændret.
AIDE-funktioner:
- Understøttelse af forskellige filattributter, herunder: filtype, inode, uid, gid, tilladelser, antal links, mtime, ctime og atime.
- Understøttelse af Gzip-komprimering, SELinux, XAttrs, Posix ACL og filsystemattributter.
- Understøttelse af forskellige algoritmer, herunder md5, sha1, sha256, sha512, rmd160, crc32 osv.
- Sendelse af e-mailnotifikationer.
I denne artikel vil vi se på, hvordan man installerer og bruger AIDE til detektering af indtrængen i CentOS 8.
Forudsætninger
- Server der kører CentOS 8, minimum med 2 GB RAM.
- root-adgang
Lad os begynde
Det anbefales først at opdatere systemet. For at gøre dette skal du køre følgende kommando.
dnf update -yEfter opdatering skal du genstarte systemet, så ændringerne træder i kraft.
Installation af AIDE
AIDE er tilgængelig i den standard repository for CentOS 8. Du kan nemt installere det ved at køre følgende kommando:
dnf install aide -yNår installationen er fuldført, kan du se versionen af AIDE ved hjælp af følgende kommando:
aide --versionDu skal se følgende:
Aide 0.16
Kompileret med følgende muligheder:
WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf" Tilgængelige muligheder aide kan ses som følger:
aide --help 
Oprettelse og initialisering af databasen
Det første, du skal gøre efter installationen af AIDE, er at initialisere det. Initialiseringen involverer at oprette en database (snapshot) af alle filer og mapper på serveren.
For at initialisere databasen skal du køre følgende kommando:
aide --initDu skal se følgende:
Start timestamp: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE har initialiseret databasen i /var/lib/aide/aide.db.new.gz
Antal poster: 49472
---------------------------------------------------
Attributterne af den (udpakkede) database(r):
---------------------------------------------------
/var/lib/aide/aide.db.new.gz
MD5 : 4N79P7hPE2uxJJ1o7na9sA==
SHA1 : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
RMD160 : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
TIGER : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
SHA256 : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
xWXT2iaEHgQ=
SHA512 : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
nDw6lgDNI/ls2esijukliQ==
End timestamp: 2020-01-16 03:03:44 -0500 (kørselstid: 0m 25s) Den tidligere nævnte kommando vil oprette en ny database aide.db.new.gz i katalogen /var/lib/aide. Den kan ses ved hjælp af følgende kommando:
ls -l /var/lib/aideResultat:
total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz AIDE vil ikke bruge denne nye databasefil, før den er omdøbt til aide.db.gz. Dette kan gøres som følger:
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gzDet anbefales at opdatere denne database periodisk for at sikre den nødvendige overvågning af ændringer.
Pladsering af databasen kan ændres ved at ændre parameteren DBDIR i filen /etc/aide.conf.
Start kontrol
Nu er AIDE klar til at bruge den nye database. Kør den første AIDE-kontrol uden at foretage ændringer:
aide --checkAt udføre denne kommando vil tage lidt tid afhængigt af størrelsen på dit filsystem og mængden af RAM på din server. Efter kontrolen skal du se følgende:
Start timestamp: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE fandt INGEN forskelle mellem databasen og filsystemet. Ser godt ud!!Den ovenfor nævnte output indikerer, at alle filer og kataloger svarer til AIDE databasen.
Test AIDE
Som standard overvåger AIDE ikke den standard root-katalog for Apache /var/www/html. Lad os konfigurere AIDE til at overvåge den. Dette kræver at ændre filen /etc/aide.conf.
nano /etc/aide.conf Tilføj ovenfor linjen "/root/CONTENT_EX" følgende:
/var/www/html/ CONTENT_EX Derefter, opret filen aide.txt i katalogen /var/www/html/, ved hjælp af følgende kommando:
echo "Test AIDE" > /var/www/html/aide.txtKør nu AIDE-kontrollen og sørg for, at den oprettede fil bliver opdaget.
aide --checkDu skal se følgende:
Start timestamp: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE fandt forskelle mellem databasen og filsystemet!!
Sammendrag:
Samlet antal poster: 49475
Tilføjede poster: 1
Fjernede poster: 0
Ændrede poster: 0
---------------------------------------------------
Tilføjede poster:
---------------------------------------------------
f++++++++++++++++: /var/www/html/aide.txt Vi kan se, at den oprettede fil er blevet opdaget aide.txt.
Efter at have analyseret de opdagede ændringer, opdater AIDE databasen.
aide --updateEfter opdateringen vil du se følgende:
Start timestamp: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE fand forskelle mellem databasen og filsystemet!!
Ny AIDE-database skrevet til /var/lib/aide/aide.db.new.gz
Sammendrag:
Totalt antal poster: 49475
Tilføjede poster: 1
Fjernede poster: 0
Ændrede poster: 0
---------------------------------------------------
Tilføjede poster:
---------------------------------------------------
f++++++++++++++++: /var/www/html/aide.txt Den tidligere nævnte kommando vil oprette en ny database aide.db.new.gz i katalogen
/var/lib/aide/Du kan se den med følgende kommando:
ls -l /var/lib/aide/Resultat:
total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gzOmnavngiv nu den nye database endnu en gang, så AIDE bruger den nye database til at spore yderligere ændringer. Du kan omdøbe den som følger:
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gzKør kontrollen igen for at sikre, at AIDE bruger den nye database:
aide --checkDu skal se følgende:
Start timestamp: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE fandt INGEN forskelle mellem databasen og filsystemet. Ser fint ud!!Automatisering af kontrol
Det er en god idé at køre AIDE-kontrollen dagligt og sende rapporten via e-mail. Denne proces kan automatiseres med cron.
nano /etc/crontabFor at køre AIDE-kontrollen hver dag kl. 10:15, tilføj følgende linje til slutningen af filen:
15 10 * * * root /usr/sbin/aide --checkNu vil AIDE underrette dig via e-mail. Du kan tjekke din e-mail med følgende kommando:
tail -f /var/mail/rootAIDE-loggen kan ses med følgende kommando:
tail -f /var/log/aide/aide.logKonklusion
I denne artikel har du lært, hvordan du bruger AIDE til at opdage ændringer i filer og identificere uautoriseret adgang til serveren. For yderligere indstillinger kan du ændre konfigurationsfilen /etc/aide.conf. Af sikkerhedsmæssige årsager anbefales det at opbevare databasen og konfigurationsfilen på et medie, der kun er tilgængeligt for læsning. Yderligere information kan findes i dokumentationen .
Kilde: habr.com
