Conas AIDE (Timpeallacht Braite Cur isteach Casta) a Shuiteáil agus a Úsáid ar CentOS 8

Roimh thús an chúrsa "Riarthóir Linux" Tá aistriúchán d’ábhar suimiúil ullmhaithe againn.

Seasann AIDE do “Advanced Intrusion Detection Environment” agus tá sé ar cheann de na córais is mó a bhfuil tóir orthu chun monatóireacht a dhéanamh ar athruithe i gcórais oibriúcháin bunaithe ar Linux. Úsáidtear AIDE chun cosaint a thabhairt i gcoinne malware, víris agus chun gníomhaíochtaí neamhúdaraithe a bhrath. Chun sláine comhad a fhíorú agus ionsá a bhrath, cruthaíonn AIDE bunachar sonraí faisnéise comhaid agus cuireann sé staid reatha an chórais i gcomparáid leis an mbunachar sonraí seo. Cuidíonn AIDE le ham imscrúdaithe teagmhais a laghdú trí dhíriú ar chomhaid a athraíodh.

Gnéithe AIDE:

• Tacaíonn tréithe éagsúla comhaid, lena n-áirítear: cineál comhaid, inode, uid, gid, ceadanna, líon nasc, mtime, ctime agus atime.
• Tacaíocht do chomhbhrú Gzip, SELinux, XAttrs, Posix ACL agus tréithe córas comhaid.
• Tacaíonn sé le halgartaim éagsúla lena n-áirítear md5, sha1, sha256, sha512, rmd160, crc32, etc.
• Fógraí á seoladh trí ríomhphost.

San Airteagal seo, féachfaimid ar conas AIDE a shuiteáil agus a úsáid le haghaidh ionsáite a bhrath ar CentOS 8.

Réamhriachtanais

• Freastalaí ag rith CentOS 8, le 2 GB RAM ar a laghad.
• rochtain fréimhe

Ag tosú

Moltar an córas a nuashonrú ar dtús. Chun seo a dhéanamh, rith an t-ordú seo a leanas.

dnf update -y

Tar éis nuashonrú a dhéanamh, atosaigh do chóras le go dtiocfaidh na hathruithe i bhfeidhm.

Suiteáil AIDE

Tá AIDE ar fáil sa stór réamhshocraithe CentOS 8. Is féidir leat é a shuiteáil go héasca tríd an ordú seo a leanas a rith:

dnf install aide -y

Nuair a bheidh an tsuiteáil críochnaithe, is féidir leat an leagan AIDE a fheiceáil ag baint úsáide as an ordú seo a leanas:

aide --version

Ba cheart duit na rudaí seo a leanas a fheiceáil:

Aide 0.16

Compiled with the following options:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

Roghanna atá ar fáil aide is féidir breathnú air mar seo a leanas:

aide --help

An bunachar sonraí a chruthú agus a thúsú

Is é an chéad rud a chaithfidh tú a dhéanamh tar éis AIDE a shuiteáil ná é a thosú. Is éard atá i dtosachú ná bunachar sonraí (pictiúr) a chruthú de na comhaid agus na heolairí go léir ar an bhfreastalaí.

Chun an bunachar sonraí a thosú, rith an t-ordú seo a leanas:

aide --init

Ba cheart duit na rudaí seo a leanas a fheiceáil:

Start timestamp: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE initialized database at /var/lib/aide/aide.db.new.gz

Number of entries:	49472

---------------------------------------------------
The attributes of the (uncompressed) database(s):
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


End timestamp: 2020-01-16 03:03:44 -0500 (run time: 0m 25s)

Cruthóidh an t-ordú thuas bunachar sonraí nua aide.db.new.gz sa chatalóg /var/lib/aide. Is féidir é a fheiceáil ag baint úsáide as an ordú seo a leanas:

ls -l /var/lib/aide

Toradh:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

Ní úsáidfidh AIDE an comhad bunachar sonraí nua seo go dtí go n-athainmneofar é aide.db.gz. Is féidir é seo a dhéanamh mar seo a leanas:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Moltar duit an bunachar sonraí seo a nuashonrú go tréimhsiúil lena chinntiú go ndéantar monatóireacht cheart ar athruithe.

Is féidir leat suíomh an bhunachair shonraí a athrú tríd an bparaiméadar a athrú DBDIR i gcomhad /etc/aide.conf.

Scan a rith

Tá AIDE réidh anois chun an bunachar sonraí nua a úsáid. Rith an chéad seiceáil AIDE gan aon athrú a dhéanamh:

aide --check

Tógfaidh sé roinnt ama an t-ordú seo a chomhlánú ag brath ar mhéid do chórais comhad agus ar an méid RAM ar do fhreastalaí. Nuair a bheidh an scanadh críochnaithe ba cheart duit na rudaí seo a leanas a fheiceáil:

Start timestamp: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

Deir an t-aschur thuas go bhfuil na comhaid agus na heolairí go léir ag teacht leis an mbunachar sonraí AIDE.

Tástáil AIDE

De réir réamhshocraithe, ní rianaíonn AIDE eolaire fhréamh réamhshocraithe Apache /var/www/html. Déanaimis AIDE a chumrú chun féachaint air. Chun seo a dhéanamh ní mór duit an comhad a athrú /etc/aide.conf.

nano /etc/aide.conf

Cuir thuas líne "/root/CONTENT_EX" an méid seo a leanas:

/var/www/html/ CONTENT_EX

Ansin, cruthaigh comhad aide.txt sa chatalóg /var/www/html/ag baint úsáide as an ordú seo a leanas:

echo "Test AIDE" > /var/www/html/aide.txt

Anois reáchtáil an seiceáil AIDE agus cinntigh go n-aimsítear an comhad cruthaithe.

aide --check

Ba cheart duit na rudaí seo a leanas a fheiceáil:

Start timestamp: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Feicimid go bhfuil an comhad cruthaithe faoi deara aide.txt.
Tar éis anailís a dhéanamh ar na hathruithe braite, nuashonraigh an bunachar sonraí AIDE.

aide --update

Tar éis an nuashonraithe feicfidh tú na rudaí seo a leanas:

Start timestamp: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!
New AIDE database written to /var/lib/aide/aide.db.new.gz

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Cruthóidh an t-ordú thuas bunachar sonraí nua aide.db.new.gz sa chatalóg

/var/lib/aide/

Is féidir leat é a fheiceáil leis an ordú seo a leanas:

ls -l /var/lib/aide/

Toradh:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

Anois athainmnigh an bunachar sonraí nua ionas go n-úsáideann AIDE an bunachar sonraí nua chun athruithe breise a rianú. Is féidir leat é a athainmniú mar seo a leanas:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Rith an tseiceáil arís lena chinntiú go bhfuil AIDE ag baint úsáide as an mbunachar sonraí nua:

aide --check

Ba cheart duit na rudaí seo a leanas a fheiceáil:

Start timestamp: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

Déanaimid an seic a uathoibriú

Is smaoineamh maith é seiceáil AIDE a reáchtáil gach lá agus an tuairisc a sheoladh tríd an bpost. Is féidir an próiseas seo a uathoibriú le cron.

nano /etc/crontab

Chun an tseiceáil AIDE a rith gach lá ag 10:15, cuir an líne seo a leanas le deireadh an chomhaid:

15 10 * * * root /usr/sbin/aide --check

Cuirfidh AIDE in iúl duit tríd an bpost anois. Is féidir leat do ríomhphost a sheiceáil leis an ordú seo a leanas:

tail -f /var/mail/root

Is féidir an loga AIDE a fheiceáil ag baint úsáide as an ordú seo a leanas:

tail -f /var/log/aide/aide.log

Conclúid

San Airteagal seo, d'fhoghlaim tú conas AIDE a úsáid chun athruithe comhaid a bhrath agus chun rochtain neamhúdaraithe ar an bhfreastalaí a aithint. Le haghaidh socruithe breise, is féidir leat an comhad cumraíochta /etc/aide.conf a chur in eagar. Ar chúiseanna slándála, moltar an bunachar sonraí agus an comhad cumraíochta a stóráil ar mheáin inléite amháin. Is féidir tuilleadh eolais a fháil sna doiciméid AIDE Doc.

Tuilleadh eolais faoin gcúrsa.

Foinse: will.com