כיצד להתקין ולהשתמש ב-AIDE (סביבת זיהוי חדירה מתקדמת) ב- CentOS 8

לפני תחילת הקורס "מנהל לינוקס" הכנו תרגום של חומר מעניין.

AIDE ראשי תיבות של "Advanced Intrusion Detection Environment" והיא אחת המערכות הפופולריות ביותר לניטור שינויים במערכות הפעלה מבוססות לינוקס. AIDE משמש להגנה מפני תוכנות זדוניות, וירוסים וזיהוי פעילויות לא מורשות. כדי לאמת את שלמות הקבצים ולזהות פריצות, AIDE יוצר מסד נתונים של מידע קבצים ומשווה את המצב הנוכחי של המערכת עם מסד נתונים זה. AIDE עוזרת להפחית את זמן חקירת האירוע על ידי התמקדות בקבצים ששונו.

תכונות AIDE:

• תומך בתכונות קבצים שונות, כולל: סוג קובץ, inode, uid, gid, הרשאות, מספר קישורים, mtime, ctime ו-atime.
• תמיכה בדחיסת Gzip, SELinux, XAttrs, Posix ACL ותכונות מערכת קבצים.
• תומך באלגוריתמים שונים כולל md5, sha1, sha256, sha512, rmd160, crc32 וכו'.
• שליחת הודעות במייל.

במאמר זה, נבחן כיצד להתקין ולהשתמש ב- AIDE לזיהוי חדירה ב- CentOS 8.

תנאים מוקדמים

• שרת המריץ CentOS 8, עם לפחות 2 GB של זיכרון RAM.
• גישה לשורש

תחילת העבודה

מומלץ לעדכן את המערכת תחילה. לשם כך, הפעל את הפקודה הבאה.

dnf update -y

לאחר העדכון, הפעל מחדש את המערכת כדי שהשינויים ייכנסו לתוקף.

התקנת AIDE

AIDE זמין במאגר ברירת המחדל של CentOS 8. ניתן להתקין אותו בקלות על ידי הפעלת הפקודה הבאה:

dnf install aide -y

לאחר השלמת ההתקנה, תוכל להציג את גרסת AIDE באמצעות הפקודה הבאה:

aide --version

אתה אמור לראות את הדברים הבאים:

Aide 0.16

Compiled with the following options:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

אפשרויות זמינות aide ניתן לראות באופן הבא:

aide --help

יצירה ואתחול מסד הנתונים

הדבר הראשון שאתה צריך לעשות לאחר התקנת AIDE הוא לאתחל אותו. האתחול מורכב מיצירת מסד נתונים (תמונת מצב) של כל הקבצים והספריות בשרת.

כדי לאתחל את מסד הנתונים, הפעל את הפקודה הבאה:

aide --init

אתה אמור לראות את הדברים הבאים:

Start timestamp: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE initialized database at /var/lib/aide/aide.db.new.gz

Number of entries:	49472

---------------------------------------------------
The attributes of the (uncompressed) database(s):
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


End timestamp: 2020-01-16 03:03:44 -0500 (run time: 0m 25s)

הפקודה לעיל תיצור מסד נתונים חדש aide.db.new.gz בקטלוג /var/lib/aide. ניתן לראות אותו באמצעות הפקודה הבאה:

ls -l /var/lib/aide

תוצאה:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE לא תשתמש בקובץ מסד הנתונים החדש הזה עד שישונה ל aide.db.gz. ניתן לעשות זאת באופן הבא:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

מומלץ לעדכן את מסד הנתונים הזה מעת לעת כדי לוודא שהשינויים מנוטרים כראוי.

ניתן לשנות את מיקום מסד הנתונים על ידי שינוי הפרמטר DBDIR בקובץ /etc/aide.conf.

הפעלת סריקה

AIDE מוכנה כעת להשתמש במסד הנתונים החדש. הפעל את בדיקת ה-AIDE הראשונה מבלי לבצע שינויים:

aide --check

ייקח זמן מה להשלמת פקודה זו בהתאם לגודל מערכת הקבצים שלך ולכמות ה-RAM בשרת שלך. לאחר השלמת הסריקה, אתה אמור לראות את הדברים הבאים:

Start timestamp: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

הפלט לעיל אומר שכל הקבצים והספריות תואמים למסד הנתונים של AIDE.

בדיקת AIDE

כברירת מחדל, AIDE לא עוקבת אחר ספריית השורש של Apache המוגדרת כברירת מחדל /var/www/html. בואו נגדיר את AIDE כדי לצפות בו. לשם כך עליך לשנות את הקובץ /etc/aide.conf.

nano /etc/aide.conf

הוסף שורה למעלה "/root/CONTENT_EX" התעופה post

/var/www/html/ CONTENT_EX

לאחר מכן, צור קובץ aide.txt בקטלוג /var/www/html/באמצעות הפקודה הבאה:

echo "Test AIDE" > /var/www/html/aide.txt

כעת הפעל את בדיקת AIDE וודא שהקובץ שנוצר מזוהה.

aide --check

אתה אמור לראות את הדברים הבאים:

Start timestamp: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

אנו רואים שהקובץ שנוצר מזוהה aide.txt.
לאחר ניתוח השינויים שזוהו, עדכן את מסד הנתונים של AIDE.

aide --update

לאחר העדכון תראה את הדברים הבאים:

Start timestamp: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!
New AIDE database written to /var/lib/aide/aide.db.new.gz

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

הפקודה לעיל תיצור מסד נתונים חדש aide.db.new.gz בקטלוג

/var/lib/aide/

אתה יכול לראות את זה עם הפקודה הבאה:

ls -l /var/lib/aide/

תוצאה:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

כעת שנה שוב את שם מסד הנתונים החדש כך ש-AIDE ישתמש במסד הנתונים החדש כדי לעקוב אחר שינויים נוספים. אתה יכול לשנות את שמו באופן הבא:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

הפעל את הבדיקה שוב כדי לוודא ש-AIDE משתמש במסד הנתונים החדש:

aide --check

אתה אמור לראות את הדברים הבאים:

Start timestamp: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

אנחנו הופכים את הצ'ק לאוטומטי

מומלץ להריץ מדי יום בדיקת AIDE ולשלוח את הדוח בדואר. תהליך זה יכול להיות אוטומטי באמצעות cron.

nano /etc/crontab

כדי להפעיל את בדיקת AIDE כל יום בשעה 10:15, הוסף את השורה הבאה לסוף הקובץ:

15 10 * * * root /usr/sbin/aide --check

AIDE תודיע לך כעת בדואר. אתה יכול לבדוק את הדואר שלך עם הפקודה הבאה:

tail -f /var/mail/root

ניתן לצפות ביומן AIDE באמצעות הפקודה הבאה:

tail -f /var/log/aide/aide.log

מסקנה

במאמר זה, למדת כיצד להשתמש ב- AIDE כדי לזהות שינויים בקבצים ולזהות גישה לא מורשית לשרת. להגדרות נוספות, אתה יכול לערוך את קובץ התצורה /etc/aide.conf. מטעמי אבטחה, מומלץ לאחסן את מסד הנתונים וקובץ התצורה על מדיה לקריאה בלבד. מידע נוסף ניתן למצוא בתיעוד AIDE Doc.

למידע נוסף על הקורס.

מקור: www.habr.com