🥇Hogyan telepítsük és használjuk az AIDE-t (Advanced Intrusion Detection Environment) a CentOS 8 rendszerben

A kurzus indítása előtt „Linux Adminisztrátor” Elkészítettük egy érdekes anyag fordítását.

Az AIDE az „Advanced Intrusion Detection Environment” (Fejlett Betörés-észlelő Környezet) rövidítése — ez az egyik legnépszerűbb rendszer az operációs rendszerek, különösen a Linux alapú rendszerek módosulásainak ellenőrzésére. Az AIDE segítségével védelmet nyújthatunk a rosszindulatú programok, vírusok és jogosulatlan tevékenységek észlelésével szemben. A rendszer fájljainak integritásának ellenőrzéséhez és a betörések észleléséhez az AIDE létrehoz egy adatbázist a fájlok információival, és összehasonlítja a rendszer aktuális állapotát ezzel az adatbázissal. Az AIDE segít csökkenteni a biztonsági események kivizsgálásához szükséges időt azáltal, hogy a módosított fájlokra összpontosít.

Az AIDE lehetőségei:

Különböző fájl attribútumok támogatása, többek között: fájltípus, inode, uid, gid, jogosultságok, hivatkozások száma, mtime, ctime és atime.
Gzip tömörítés, SELinux, XAttrs, Posix ACL és fájlrendszer attribútumok támogatása.
Különböző algoritmusok támogatása, beleértve: md5, sha1, sha256, sha512, rmd160, crc32 stb.
E-mail értesítések küldése.

Ebben a cikkben bemutatjuk, hogyan telepíthető és használható az AIDE a betörések észlelésére CentOS 8 alatt.

Előfeltételek

CentOS 8 rendszeren futó szerver, legalább 2 GB RAM-mal.
root-hozzáférés

Kezdünk

Először ajánlott frissíteni a rendszert. Ehhez futtassa az alábbi parancsot.

dnf update -y

A frissítés után indítsa újra a rendszert, hogy a változások érvénybe lépjenek.

AIDE telepítése

Az AIDE elérhető a CentOS 8 alapértelmezett adattárában. Könnyen telepítheti az alábbi parancs futtatásával:

dnf install aide -y

A telepítés befejezése után a következő parancs segítségével megtekintheti az AIDE verzióját:

aide --version

A következőnek kell megjelennie:

Aide 0.16

Az alábbi opciókkal összeállítva:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

Elérhető paraméterek aide megtekinthető a következő módon:

aide --help

Az adatbázis létrehozása és inicializálása

Az első dolog, amit az AIDE telepítése után meg kell tennie, az az adatbázis inicializálása. Az inicializálás során létrejön a szerveren található fájlok és könyvtárak teljes adatbázisa (pillanatkép).

Az adatbázis inicializálásához futtassa az alábbi parancsot:

aide --init

A következőnek kell megjelennie:

Kezdési időpont: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
Az AIDE inicializálta az adatbázist a /var/lib/aide/aide.db.new.gz helyen

Bejegyzések száma:	49472

---------------------------------------------------
Az (tömörítetlen) adatbázis(ok) attribútumai:
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


Befejezési időpont: 2020-01-16 03:03:44 -0500 (futási idő: 0m 25s)

A fenti parancs új adatbázist hoz létre aide.db.new.gz a könyvtárban /var/lib/aide. Ezt a következő paranccsal láthatja:

ls -l /var/lib/aide

Eredmény:

összesen 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

Az AIDE nem fogja használni ezt az új adatbázisfájlt, amíg át nem nevezi aide.db.gz. Ezt a következőképpen teheti meg:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Ajánlott időnként frissíteni ezt az adatbázist, hogy biztosítsa a szükséges változások figyelését.

Az adatbázis helyét megváltoztathatja a DBDIR a fájlban /etc/aide.conf.

Ellenőrzés indítása

Most az AIDE készen áll az új adatbázis használatára. Indítsa el az első AIDE ellenőrzést, anélkül hogy bármilyen változtatást tenne:

aide --check

Ennek a parancsnak a végrehajtása eltarthat egy ideig, a fájlrendszer méretétől és a szerveren lévő memória mennyiségétől függően. A vizsgálat befejezése után a következőket kell látnia:

Kezdési időpont: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
Az AIDE NEM talált eltéréseket az adatbázis és a fájlrendszer között. Úgy néz ki, rendben van!!

A fenti kimenet azt jelzi, hogy minden fájl és mappa megfelel az AIDE adatbázisának.

AIDE tesztelése

Alapértelmezés szerint az AIDE nem figyeli az Apache alapértelmezett gyökérmappáját /var/www/html. Állítsuk be az AIDE-t ennek megfigyelésére. Ehhez módosítani kell a következő fájlt: /etc/aide.conf.

nano /etc/aide.conf

Adja hozzá a sor fölé "/root/CONTENT_EX" a következőket:

/var/www/html/ CONTENT_EX

Ezután hozzon létre egy fájlt aide.txt a könyvtárban /var/www/html/, a következő paranccsal:

echo "Test AIDE" > /var/www/html/aide.txt

Most futtassa az AIDE ellenőrzést, és győződjön meg róla, hogy a létrehozott fájl észlelve lesz.

aide --check

A következőnek kell megjelennie:

Kezdési időpont: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
Az AIDE eltéréseket talált az adatbázis és a fájlrendszer között!!

Összegzés:
  A bejegyzések összes száma:	49475
  Hozzáadott bejegyzések:		1
  Eltávolított bejegyzések:		0
  Megváltozott bejegyzések:		0

---------------------------------------------------
Hozzáadott bejegyzések:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Látjuk, hogy a létrehozott fájl észlelve lett aide.txt.
A feltárt változások elemzése után frissítse az AIDE adatbázist.

aide --update

A frissítés után a következőt látja:

Kezdő időpont: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
Az AIDE eltéréseket talált az adatbázis és a fájlrendszer között!!
Új AIDE adatbázis íródott a /var/lib/aide/aide.db.new.gz fájlba

Összegzés:
  Összes bejegyzés száma:	49475
  Hozzáadott bejegyzések:		1
  Törölt bejegyzések:		0
  Módosított bejegyzések:		0

---------------------------------------------------
Hozzáadott bejegyzések:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

A fenti parancs új adatbázist hoz létre aide.db.new.gz a könyvtárban

/var/lib/aide/

A következő paranccsal megtekintheti:

ls -l /var/lib/aide/

Eredmény:

összesen 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

Most nevezze át újra az új adatbázist, hogy az AIDE a jövőbeli változások nyomon követésére az új adatbázist használja. Az átnevezés a következőképpen végezhető el:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Futtassa a vizsgálatot újra, hogy megbizonyosodjon arról, hogy az AIDE az új adatbázist használja:

aide --check

Látnia kell a következőket:

Kezdő időpont: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
Az AIDE NEM talált eltéréseket az adatbázis és a fájlrendszer között. Minden rendben van!!

Automatizáljuk a vizsgálatot

Jó ötlet, ha az AIDE-t minden nap futtatja, és az eredményt e-mailben elküldi. Ezt a folyamatot a cron segítségével automatizálhatja.

nano /etc/crontab

Ahhoz, hogy az AIDE-t minden nap 10:15-kor ellenőrizze, adja hozzá a fájl végéhez a következő sort:

15 10 * * * root /usr/sbin/aide --check

Most az AIDE értesíti Önt e-mailben. Az e-mail ellenőrzéséhez használja az alábbi parancsot:

tail -f /var/mail/root

Az AIDE naplója a következő paranccsal megtekinthető:

tail -f /var/log/aide/aide.log

Zárás

Ebben a cikkben megtudta, hogyan használja az AIDE-t a fájlok változásainak észlelésére és a jogosulatlan hozzáférések felfedezésére a szerveren. További konfigurációs lehetőségek érdekében módosíthatja a /etc/aide.conf fájlt. Biztonsági okokból ajánlott az adatbázist és a konfigurációs fájlt csak olvasásra elérhető tárolón tárolni. További információt a dokumentációban találhat. AIDE Doc.

További információ a tanfolyamról.

Forrás: habr.com