🥇Kuidas installida ja kasutada AIDE-d (Advanced Intrusion Detection Environment) CentOS 8-s

Kursuse alguse eelõhtul Linuxi administraator valmistasime huvitava materjali tõlke.

AIDE tähistab "Advanced Intrusion Detection Environment" (täiustatud sissetungi tuvastamise keskkond) — see on üks populaarsemaid süsteeme Linuxi operatsioonisüsteemide muudatuste jälgimiseks. AIDE-d kasutatakse pahavara, viiruste ja volitamata tegevuste tuvastamiseks. Failide terviklikkuse kontrollimiseks ja sissetungide tuvastamiseks loob AIDE andmebaasi teabega failide kohta ja võrdleb süsteemi praegust seisundit selle andmebaasiga. AIDE aitab lühendada intsidentide uurimise aega, keskendudes muudetud failidele.

AIDE omadused:

Toetab erinevaid failiatriibu, sealhulgas: failitüüp, inode, uid, gid, õigused, linkide arv, mtime, ctime ja atime.
Toetab Gzip-surumist, SELinuxi, XAttrs, Posix ACL ja failisüsteemi atribuute.
Toetab erinevaid algoritme, sealhulgas md5, sha1, sha256, sha512, rmd160, crc32 jne.
E-kirjade saatmise teavitamine.

Selles artiklis vaadeldakse, kuidas AIDE-d installida ja kasutada sissetungide tuvastamiseks CentOS 8-s.

Eeltingimused

CentOS 8-l töötav server, millel on vähemalt 2 GB RAM-i.
root-juurdepääs

Alustame

Alguses on soovitatav süsteemi uuendada. Selleks käivitage järgmine käsk.

dnf update -y

Pärast värskendamist taaskäivitage süsteem, et muudatused jõustuksid.

AIDE installimine

AIDE on saadaval CentOS 8 vaikerepositooriumis. Saate selle hõlpsasti installida, käivitades järgmise käsu:

dnf install aide -y

Pärast installimise lõpetamist saate AIDE versiooni vaadata järgmise käsu abil:

aide --version

Peaksite nägema järgmist:

Aide 0.16

Kompileeritud järgmiste valikutega:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

Saadaval olevad parameetrid aide saate vaadata järgmise viisi kaudu:

aide --help

Andmebaasi loomine ja initsialiseerimine

Esimene asi, mida peate pärast AIDE installimist tegema — see tuleb initsialiseerida. Initsialiseerimine hõlmab andmebaasi (serveri kõigi failide ja kataloogide snapshots) loomist.

Andmebaasi initsialiseerimiseks käivitage järgmine käsk:

aide --init

Peaksite nägema järgmist:

Algumise algus: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE algatas andmebaasi failis /var/lib/aide/aide.db.new.gz

Kandeid kokku:	49472

---------------------------------------------------
Andmebaasi (kompressimata) atribuudid:
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


Algumise lõpp: 2020-01-16 03:03:44 -0500 (käitamise aeg: 0m 25s)

Ülaltoodud käsk loob uue andmebaasi aide.db.new.gz kaustas /var/lib/aide. Seda saab vaadata järgneva käsuga:

ls -l /var/lib/aide

Tulemus:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE ei kasuta seda uut andmebaasi faili enne, kui see ümber nimetatakse aide.db.gz. Selle saab teha järgmiselt:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Soovitav on aeg-ajalt seda andmebaasi värskendada, et tagada vajalike muudatuste jälgimine.

Andmebaasi asukohta saab muuta, muutes parameetrit DBDIR failis /etc/aide.conf.

Kontrollimise käivitamine

Nüüd on AIDE valmis uue andmebaasiga töötama. Käivitage AIDE esimene kontroll, tegemata mingeid muudatusi:

aide --check

Selle käsu täitmine võtab aega, olenevalt teie failisüsteemi suurusest ja teie serveri mälust. Kontrollimise lõppedes peaksite nägema järgmist:

Algumise kellaaeg: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE ei leidnud andmebaasi ja failisüsteemi vahel mingeid erinevusi. Näeb välja hea!!

Ülaltoodud väljund näitab, et kõik failid ja kataloogid vastavad AIDE andmebaasile.

Testime AIDE-d

Vaikimisi ei jälgi AIDE vaikimisi Apache'i juurkatalooge /var/www/html. Seadistame AIDE, et see seda jälgiks. Selleks peate muutma faili /etc/aide.conf.

nano /etc/aide.conf

Lisage rea kohal "/root/CONTENT_EX" järgmist:

/var/www/html/ CONTENT_EX

Järgmisena looge fail aide.txt kaustas /var/www/html/, kasutades järgmist käsku:

echo "Test AIDE" > /var/www/html/aide.txt

Nüüd käivitage AIDE kontroll ja veenduge, et loodud fail tuvastatakse.

aide --check

Peaksite nägema järgmist:

Algumise kellaaeg: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE leidis andmebaasi ja failisüsteemi vahel erinevusi!!

Kokkuvõte:
  Kandeid kokku:	49475
  Lisatud kanded:		1
  Eemaldatud kanded:		0
  Muudetud kanded:		0

---------------------------------------------------
Lisatud kanded:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Nägime, et loodud fail tuvastati aide.txt.
Pärast tuvastatud muudatuste analüüsimist värskendage AIDE andmebaasi.

aide --update

Pärast värskendamist näete järgmist:

Algusaeg: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE leidis erinevusi andmebaasi ja failisüsteemi vahel!!
Uus AIDE andmebaas on kirjutatud /var/lib/aide/aide.db.new.gz

Kokkuvõte:
  Kokku sisenemiste arvu:	49475
  Lisatud sisenemised:		1
  Eemaldatud sisenemised:		0
  Muudetud sisenemised:		0

---------------------------------------------------
Lisatud sisenemised:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Ülaltoodud käsk loob uue andmebaasi aide.db.new.gz kaustas

/var/lib/aide/

Saate seda vaadata järgmise käsu abil:

ls -l /var/lib/aide/

Tulemus:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

Nüüd nimekas olge uus andmebaas veel kord, et AIDE kasutaks uut andmebaasi edasiste muutuste jälgimiseks. Saate selle ümber nimetada järgmiselt:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Käivitage kontroll uuesti, et veenduda, et AIDE kasutab uut andmebaasi:

aide --check

Peaksite nägema järgmist:

Algusaeg: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE ei leidnud andmebaasi ja failisüsteemi vahel ERINEVUSI. Kõik näeb hea välja!!

Automatiseerime kontrolli

Hea mõte on käivitada AIDE kontroll iga päev ja saata aruanne meiliga. Seda protsessi saab automatiseerida cron'iga.

nano /etc/crontab

Et käivitada AIDE kontroll iga päev kell 10:15, lisage faili lõppu rida:

15 10 * * * root /usr/sbin/aide --check

Nüüd teavitab AIDE teid e-posti teel. E-kirju saate kontrollida järgmise käsuga:

tail -f /var/mail/root

AIDE logi saate vaadata järgmise käsu abil:

tail -f /var/log/aide/aide.log

Kokkuvõte

Käesolevas artiklis õppisite, kuidas kasutada AIDE-d failimuutuste tuvastamiseks ja mitteautorisatud juurdepääsu tuvastamiseks serverisse. Täiendavate seadistuste jaoks saate muuta konfiguratsioonifaili /etc/aide.conf. Ohutuse tagamiseks on soovitatav hoida andmebaasi ja konfiguratsioonifaili kirjutuskaitstud mälus. Lisateavet leiate dokumentatsioonist. AIDE Doc.

Tutvu kursusega lähemalt.

Allikas: habr.com