CentOS 8 પર AIDE (એડવાન્સ્ડ ઈન્ટ્રુઝન ડિટેક્શન એન્વાયર્નમેન્ટ) ને કેવી રીતે ઇન્સ્ટોલ અને ઉપયોગ કરવો

અભ્યાસક્રમની શરૂઆત પહેલાં "લિનક્સ એડમિનિસ્ટ્રેટર" અમે રસપ્રદ સામગ્રીનો અનુવાદ તૈયાર કર્યો છે.

AIDE એ "એડવાન્સ્ડ ઈન્ટ્રુઝન ડિટેક્શન એન્વાયર્નમેન્ટ" માટે વપરાય છે અને તે Linux-આધારિત ઓપરેટિંગ સિસ્ટમ્સમાં ફેરફારોને મોનિટર કરવા માટેની સૌથી લોકપ્રિય સિસ્ટમોમાંની એક છે. AIDE નો ઉપયોગ માલવેર, વાયરસ સામે રક્ષણ કરવા અને અનધિકૃત પ્રવૃત્તિઓ શોધવા માટે થાય છે. ફાઇલની અખંડિતતા ચકાસવા અને ઘૂસણખોરી શોધવા માટે, AIDE ફાઇલ માહિતીનો ડેટાબેઝ બનાવે છે અને આ ડેટાબેઝ સાથે સિસ્ટમની વર્તમાન સ્થિતિની તુલના કરે છે. AIDE સંશોધિત કરેલી ફાઇલો પર ધ્યાન કેન્દ્રિત કરીને ઘટનાની તપાસનો સમય ઘટાડવામાં મદદ કરે છે.

AIDE સુવિધાઓ:

• ફાઇલ પ્રકાર, inode, uid, gid, પરવાનગીઓ, લિંક્સની સંખ્યા, mtime, ctime અને atime સહિત વિવિધ ફાઇલ વિશેષતાઓને સપોર્ટ કરે છે.
• Gzip કમ્પ્રેશન, SELinux, XAttrs, Posix ACL અને ફાઇલ સિસ્ટમ લક્ષણો માટે સપોર્ટ.
• md5, sha1, sha256, sha512, rmd160, crc32, વગેરે સહિત વિવિધ અલ્ગોરિધમ્સને સપોર્ટ કરે છે.
• ઇમેઇલ દ્વારા સૂચનાઓ મોકલી રહ્યું છે.

આ લેખમાં, અમે CentOS 8 પર ઘૂસણખોરી શોધ માટે AIDE ને કેવી રીતે ઇન્સ્ટોલ અને ઉપયોગ કરવો તે જોઈશું.

પૂર્વજરૂરીયાતો

• ઓછામાં ઓછા 8 GB RAM સાથે CentOS 2 ચલાવતું સર્વર.
• રૂટ એક્સેસ

પ્રારંભ

પહેલા સિસ્ટમને અપડેટ કરવાની ભલામણ કરવામાં આવે છે. આ કરવા માટે, નીચેનો આદેશ ચલાવો.

dnf update -y

અપડેટ કર્યા પછી, ફેરફારો પ્રભાવમાં આવવા માટે તમારી સિસ્ટમને પુનઃપ્રારંભ કરો.

AIDE ઇન્સ્ટોલ કરી રહ્યું છે

AIDE ડિફૉલ્ટ CentOS 8 રિપોઝીટરીમાં ઉપલબ્ધ છે. તમે નીચેનો આદેશ ચલાવીને તેને સરળતાથી ઇન્સ્ટોલ કરી શકો છો:

dnf install aide -y

એકવાર ઇન્સ્ટોલેશન પૂર્ણ થઈ જાય, પછી તમે નીચેના આદેશનો ઉપયોગ કરીને AIDE સંસ્કરણ જોઈ શકો છો:

aide --version

તમારે નીચેના જોવું જોઈએ:

Aide 0.16

Compiled with the following options:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

ઉપલબ્ધ વિકલ્પો aide નીચે પ્રમાણે જોઈ શકાય છે:

aide --help

ડેટાબેઝ બનાવવું અને પ્રારંભ કરવું

AIDE ઇન્સ્ટોલ કર્યા પછી તમારે પ્રથમ વસ્તુ શરૂ કરવાની જરૂર છે. આરંભમાં સર્વર પરની તમામ ફાઇલો અને ડિરેક્ટરીઓનો ડેટાબેઝ (સ્નેપશોટ) બનાવવાનો સમાવેશ થાય છે.

ડેટાબેઝ શરૂ કરવા માટે, નીચેનો આદેશ ચલાવો:

aide --init

તમારે નીચેના જોવું જોઈએ:

Start timestamp: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE initialized database at /var/lib/aide/aide.db.new.gz

Number of entries:	49472

---------------------------------------------------
The attributes of the (uncompressed) database(s):
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


End timestamp: 2020-01-16 03:03:44 -0500 (run time: 0m 25s)

ઉપરોક્ત આદેશ નવો ડેટાબેઝ બનાવશે aide.db.new.gz સૂચિમાં /var/lib/aide. તે નીચેના આદેશનો ઉપયોગ કરીને જોઈ શકાય છે:

ls -l /var/lib/aide

પરિણામ:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE આ નવી ડેટાબેઝ ફાઇલનો ઉપયોગ કરશે નહીં જ્યાં સુધી તેનું નામ બદલવામાં ન આવે aide.db.gz. આ નીચે પ્રમાણે કરી શકાય છે:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

ફેરફારોનું યોગ્ય રીતે નિરીક્ષણ કરવામાં આવે છે તેની ખાતરી કરવા માટે તમે સમયાંતરે આ ડેટાબેઝને અપડેટ કરવાની ભલામણ કરવામાં આવે છે.

તમે પેરામીટર બદલીને ડેટાબેઝનું સ્થાન બદલી શકો છો DBDIR ફાઇલમાં /etc/aide.conf.

સ્કેન ચાલી રહ્યું છે

AIDE હવે નવા ડેટાબેઝનો ઉપયોગ કરવા માટે તૈયાર છે. કોઈપણ ફેરફાર કર્યા વિના પ્રથમ AIDE તપાસ ચલાવો:

aide --check

તમારી ફાઇલ સિસ્ટમના કદ અને તમારા સર્વર પરની RAM ની માત્રાને આધારે આ આદેશ પૂર્ણ થવામાં થોડો સમય લેશે. એકવાર સ્કેન પૂર્ણ થઈ જાય પછી તમારે નીચેની બાબતો જોવી જોઈએ:

Start timestamp: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

ઉપરોક્ત આઉટપુટ કહે છે કે બધી ફાઇલો અને ડિરેક્ટરીઓ AIDE ડેટાબેઝ સાથે મેળ ખાય છે.

પરીક્ષણ AIDE

મૂળભૂત રીતે, AIDE ડિફૉલ્ટ અપાચે રૂટ ડિરેક્ટરીને ટ્રૅક કરતું નથી /var/www/html. ચાલો તેને જોવા માટે AIDE ને ગોઠવીએ. આ કરવા માટે તમારે ફાઇલ બદલવાની જરૂર છે /etc/aide.conf.

nano /etc/aide.conf

ઉપરની લીટી ઉમેરો "/root/CONTENT_EX" નીચેના:

/var/www/html/ CONTENT_EX

આગળ, એક ફાઇલ બનાવો aide.txt સૂચિમાં /var/www/html/નીચેના આદેશનો ઉપયોગ કરીને:

echo "Test AIDE" > /var/www/html/aide.txt

હવે AIDE તપાસ ચલાવો અને ખાતરી કરો કે બનાવેલ ફાઇલ શોધી કાઢવામાં આવી છે.

aide --check

તમારે નીચેના જોવું જોઈએ:

Start timestamp: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

આપણે જોઈએ છીએ કે બનાવેલ ફાઈલ શોધી કાઢવામાં આવી છે aide.txt.
શોધાયેલ ફેરફારોનું વિશ્લેષણ કર્યા પછી, AIDE ડેટાબેઝ અપડેટ કરો.

aide --update

અપડેટ પછી તમે નીચેની બાબતો જોશો:

Start timestamp: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!
New AIDE database written to /var/lib/aide/aide.db.new.gz

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

ઉપરોક્ત આદેશ નવો ડેટાબેઝ બનાવશે aide.db.new.gz સૂચિમાં

/var/lib/aide/

તમે તેને નીચેના આદેશ સાથે જોઈ શકો છો:

ls -l /var/lib/aide/

પરિણામ:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

હવે નવા ડેટાબેઝનું નામ ફરીથી બદલો જેથી AIDE નવા ડેટાબેઝનો ઉપયોગ વધુ ફેરફારોને ટ્રૅક કરવા માટે કરે. તમે તેનું નામ નીચે પ્રમાણે બદલી શકો છો:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

AIDE નવા ડેટાબેઝનો ઉપયોગ કરી રહ્યું છે તેની ખાતરી કરવા માટે ફરીથી ચેક ચલાવો:

aide --check

તમારે નીચેના જોવું જોઈએ:

Start timestamp: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

અમે ચેકને સ્વચાલિત કરીએ છીએ

દરરોજ AIDE તપાસ ચલાવવી અને રિપોર્ટ મેઇલ કરવો એ સારો વિચાર છે. આ પ્રક્રિયા ક્રોનનો ઉપયોગ કરીને સ્વચાલિત થઈ શકે છે.

nano /etc/crontab

દરરોજ 10:15 વાગ્યે AIDE ચેક ચલાવવા માટે, ફાઇલના અંતમાં નીચેની લીટી ઉમેરો:

15 10 * * * root /usr/sbin/aide --check

AIDE હવે તમને મેઇલ દ્વારા સૂચિત કરશે. તમે નીચેના આદેશથી તમારો મેઇલ ચેક કરી શકો છો:

tail -f /var/mail/root

AIDE લોગ નીચેના આદેશનો ઉપયોગ કરીને જોઈ શકાય છે:

tail -f /var/log/aide/aide.log

નિષ્કર્ષ

આ લેખમાં, તમે ફાઇલ ફેરફારો શોધવા અને અનધિકૃત સર્વર ઍક્સેસને ઓળખવા માટે AIDE નો ઉપયોગ કેવી રીતે કરવો તે શીખ્યા. વધારાના સુયોજનો માટે, તમે /etc/aide.conf રૂપરેખાંકન ફાઈલમાં ફેરફાર કરી શકો છો. સુરક્ષા કારણોસર, ડેટાબેઝ અને રૂપરેખાંકન ફાઇલને ફક્ત વાંચવા માટેના મીડિયા પર સંગ્રહિત કરવાની ભલામણ કરવામાં આવે છે. વધુ માહિતી દસ્તાવેજીકરણમાં મળી શકે છે AIDE ડૉ.

કોર્સ વિશે વધુ જાણો.

સોર્સ: www.habr.com