🥇Kuidas installida ja kasutada AIDE-d (Advanced Intrusion Detection Environment) CentOS 8-s

Kursuse alguse eelõhtul „Linuxi administraator“ valmistasime huvitava materjali tõlke.

AIDE tähistab "Advanced Intrusion Detection Environment" (täiustatud sissetungi avastamise keskkond) — see on üks populaarsemaid süsteeme Linuxi põhiste operatsioonisüsteemide muudatuste jälgimiseks. AIDE-d kasutatakse pahavara, viiruste ja volitamata toimingute avastamiseks. Failide terviklikkuse kontrollimiseks ja sissetungide avastamiseks loob AIDE andmebaasi failide teabe kohta ning võrdleb süsteemi praegust seisundit selle andmebaasiga. AIDE aitab vähendada juhtumite uurimise aega, keskendudes muudetud failidele.

AIDE võimalused:

Toetab erinevaid faili atribuute, sealhulgas: faili tüüp, inode, uid, gid, õigused, linkide arv, mtime, ctime ja atime.
Toetab Gzip-i tihendust, SELinux-i, XAttrs-i, Posix ACL-i ja failisüsteemi atribuute.
Toetab erinevaid algoritme, sealhulgas md5, sha1, sha256, sha512, rmd160, crc32 jne.
Saadab teateid e-posti teel.

Selles artiklis vaatleme, kuidas AIDE-d installida ja kasutada sissetungide avastamiseks CentOS 8-s.

Eeltingimused

Server, mis töötab CentOS 8, minimaalne mälu 2 GB.
root-juurdepääs

Alustame

Esmalt soovitatakse süsteem uuendada. Selleks täitke järgmine käsk.

dnf update -y

Pärast uuendamist taaskäivitage süsteem, et muudatused jõustuksid.

AIDE paigaldamine

AIDE on saadaval CentOS 8 vaikerepositoriumis. Saate selle hõlpsasti paigaldada, täites järgmise käsku:

dnf install aide -y

Pärast paigalduse lõpetamist saab AIDE versiooni vaadata järgmise käsku abil:

aide --version

Te peaksite nägema järgmist:

Aide 0.16

Kompileeritud järgmiste valikute järgi:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

Saadaval olevad parameetrid aide võib vaadata järgmisel viisil:

aide --help

Andmebaasi loomine ja algatamine

Esimene asi, mida pärast AIDE paigaldamist teha, on selle algatamine. Algatamine tähendab andmebaasi (serveri kõigi failide ja kataloogide hetkeseisu) loomist.

Andmebaasi algatamiseks täitke järgmine käsk:

aide --init

Te peaksite nägema järgmist:

Algusaeg: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE initsialiseerib andmebaasi failis /var/lib/aide/aide.db.new.gz

Kirjeid kokku:	49472

---------------------------------------------------
(uncompressed) andmebaasi atribuudid:
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


Lõppaeg: 2020-01-16 03:03:44 -0500 (täitmise aeg: 0m 25s)

Ülaltoodud käsk loob uue andmebaasi aide.db.new.gz kaustas /var/lib/aide. Seda saab vaadata järgmist käsku kasutades:

ls -l /var/lib/aide

Tulemus:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE ei hakka seda uut andmebaasifaili kasutama, kuni seda ei nimetata ümber aide.db.gz. Seda saab teha järgmiselt:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Soovitatav on aeg-ajalt seda andmebaasi uuendada, et tagada vajalike muudatuste jälgimine.

Andmebaasi asukohta saab muuta, muutes parameetrit DBDIR failis /etc/aide.conf.

Kontrolli käivitamine

Nüüd on AIDE valmis uue andmebaasi kasutamiseks. Käivita esimene AIDE kontroll, tegemata mingeid muudatusi:

aide --check

Selle käsu täitmine võtab aega olenevalt teie failisüsteemi suurusest ja serveri mälu mahust. Pärast kontrolli lõppu peaksite nägema järgmist:

Käivitusaeg: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE ei leidnud andmebaasi ja failisüsteemi vahel mingeid erinevusi. Näeb hea välja!!

Ülaltoodud väljund näitab, et kõik failid ja kataloogid vastavad AIDE andmebaasile.

Testime AIDE-d

Vaikimisi AIDE ei jälgi Apache'i vaikimisi juurkatalooge /var/www/html. Kohandame AIDE-d selle jälgimiseks. Selleks tuleb muuta faili /etc/aide.conf.

nano /etc/aide.conf

Lisage rea kohale "/root/CONTENT_EX" järgmise:

/var/www/html/ CONTENT_EX

Järgmiseks looge fail aide.txt kaustas /var/www/html/, kasutades järgmist käsku:

echo "Test AIDE" > /var/www/html/aide.txt

Nüüd käivitage AIDE kontroll ja veenduge, et loodud fail tuvastatakse.

aide --check

Te peaksite nägema järgmist:

Käivitusaeg: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE leidis erinevusi andmebaasi ja failisüsteemi vahel!!

Kokkuvõte:
  Kokku sisenemiste arv:	49475
  Lisatud sisenemised:		1
  Eemaldatud sisenemised:		0
  Muudetud sisenemised:		0

---------------------------------------------------
Lisatud sisenemised:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Näeme, et loodud fail on tuvastatud aide.txt.
Pärast tuvastatud muudatuste analüüsimist uuendage AIDE andmebaasi.

aide --update

Pärast uuendamist näete järgmist:

Algus timestamp: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE leidis erinevusi andmebaasi ja failisüsteemi vahel!!
Uus AIDE andmebaas on kirjutatud failile /var/lib/aide/aide.db.new.gz

Kokkuvõte:
  Kokku sisenemiste arvu:	49475
  Lisatud sisenemised:	1
  Eemaldatud sisenemised:	0
  Muudetud sisenemised:	0

---------------------------------------------------
Lisatud sisenemised:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Ülaltoodud käsk loob uue andmebaasi aide.db.new.gz kaustas

/var/lib/aide/

Saate seda näha järgmise käsu abil:

ls -l /var/lib/aide/

Tulemus:

kokku 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

Nüüd nimeta uus andmebaas uuesti, et AIDE saaks edaspidiste muudatuste jälgimiseks kasutada uut andmebaasi. Uuesti nimetamiseks võid teha järgmist:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Käivita kontroll uuesti, et veenduda, et AIDE kasutab uut andmebaasi:

aide --check

Sa peaksid nägema järgmist:

Algus timestamp: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE ei leidnud andmebaasi ja failisüsteemi vahel ERINEVUSI. Näeb hea välja!!

Automatiseerime kontrolli

See on hea mõte - käivitada AIDE kontroll iga päev ja saata aruanne e-posti teel. Seda protsessi saab automatiseerida cron'i abil.

nano /etc/crontab

Käivitamiseks AIDE kontroll iga päev kell 10:15, lisa faili lõppu järgmine rida:

15 10 * * * root /usr/sbin/aide --check

Nüüd teavitab AIDE teid e-posti teel. E-kirju saab kontrollida järgmise käsuga:

tail -f /var/mail/root

AIDE logi saab vaadata järgmise käsklusega:

tail -f /var/log/aide/aide.log

Kokkuvõte

Selles artiklis õppisite, kuidas kasutada AIDE-d failimuudatuste tuvastamiseks ja serverisse volitamata juurdepääsu tuvastamiseks. Täiendavate seadistuste jaoks saate muuta konfiguratsioonifaili /etc/aide.conf. Turvalisuse huvides on soovitatav hoida andmebaasi ja konfiguratsioonifaili lugemisõigustega seadmes. Täiendavat teavet leiate dokumentatsioonist. AIDE Doc.

Uuri kursuse kohta lähemalt.

Allikas: habr.com