როგორ დააინსტალიროთ და გამოვიყენოთ AIDE (Advanced Intrusion Detection Environment) CentOS 8-ზე

კურსის დაწყებამდე "ლინუქსის ადმინისტრატორი" ჩვენ მოვამზადეთ საინტერესო მასალის თარგმანი.

AIDE ნიშნავს "Advanced Intrusion Detection Environment" და არის ერთ-ერთი ყველაზე პოპულარული სისტემა Linux-ზე დაფუძნებულ ოპერაციულ სისტემებში ცვლილებების მონიტორინგისთვის. AIDE გამოიყენება მავნე პროგრამებისგან, ვირუსებისგან დასაცავად და არაავტორიზებული ქმედებების აღმოსაჩენად. ფაილის მთლიანობის შესამოწმებლად და შეჭრის აღმოსაჩენად, AIDE ქმნის ფაილის ინფორმაციის მონაცემთა ბაზას და ადარებს სისტემის ამჟამინდელ მდგომარეობას ამ მონაცემთა ბაზასთან. AIDE ეხმარება შეამციროს ინციდენტის გამოძიების დრო შეცვლილ ფაილებზე ფოკუსირებით.

AIDE მახასიათებლები:

• მხარს უჭერს ფაილის სხვადასხვა ატრიბუტებს, მათ შორის: ფაილის ტიპი, inode, uid, gid, ნებართვები, ბმულების რაოდენობა, mtime, ctime და atime.
• Gzip შეკუმშვის, SELinux, XAttrs, Posix ACL და ფაილური სისტემის ატრიბუტების მხარდაჭერა.
• მხარს უჭერს სხვადასხვა ალგორითმს, მათ შორის md5, sha1, sha256, sha512, rmd160, crc32 და ა.შ.
• შეტყობინებების გაგზავნა ელექტრონული ფოსტით.

ამ სტატიაში ჩვენ განვიხილავთ, თუ როგორ უნდა დააინსტალიროთ და გამოიყენოთ AIDE შეჭრის აღმოჩენისთვის CentOS 8-ზე.

წინაპირობები

• სერვერი მუშაობს CentOS 8-ზე, მინიმუმ 2 GB ოპერატიული მეხსიერებით.
• root წვდომა

დაიწყო

რეკომენდირებულია ჯერ სისტემის განახლება. ამისათვის გაუშვით შემდეგი ბრძანება.

dnf update -y

განახლების შემდეგ გადატვირთეთ სისტემა, რომ ცვლილებები ძალაში შევიდეს.

AIDE-ის დაყენება

AIDE ხელმისაწვდომია ნაგულისხმევი CentOS 8 საცავში. შეგიძლიათ მარტივად დააინსტალიროთ შემდეგი ბრძანების გაშვებით:

dnf install aide -y

ინსტალაციის დასრულების შემდეგ, შეგიძლიათ ნახოთ AIDE ვერსია შემდეგი ბრძანების გამოყენებით:

aide --version

თქვენ უნდა ნახოთ შემდეგი:

Aide 0.16

Compiled with the following options:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

ხელმისაწვდომი ვარიანტები aide შეიძლება ჩაითვალოს შემდეგნაირად:

aide --help

მონაცემთა ბაზის შექმნა და ინიციალიზაცია

პირველი, რაც უნდა გააკეთოთ AIDE-ის დაყენების შემდეგ, არის მისი ინიციალიზაცია. ინიციალიზაცია მოიცავს სერვერზე არსებული ყველა ფაილისა და დირექტორიის მონაცემთა ბაზის (სნეპშოტის) შექმნას.

მონაცემთა ბაზის ინიციალიზაციისთვის, შეასრულეთ შემდეგი ბრძანება:

aide --init

თქვენ უნდა ნახოთ შემდეგი:

Start timestamp: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE initialized database at /var/lib/aide/aide.db.new.gz

Number of entries:	49472

---------------------------------------------------
The attributes of the (uncompressed) database(s):
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


End timestamp: 2020-01-16 03:03:44 -0500 (run time: 0m 25s)

ზემოთ მოყვანილი ბრძანება შექმნის ახალ მონაცემთა ბაზას aide.db.new.gz კატალოგში /var/lib/aide. მისი ნახვა შესაძლებელია შემდეგი ბრძანების გამოყენებით:

ls -l /var/lib/aide

შედეგი:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE არ გამოიყენებს მონაცემთა ბაზის ახალ ფაილს, სანამ მას არ დაერქმევა სახელი aide.db.gz. ეს შეიძლება გაკეთდეს შემდეგნაირად:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

რეკომენდირებულია პერიოდულად განაახლოთ ეს მონაცემთა ბაზა, რათა უზრუნველყოთ ცვლილებების სათანადო მონიტორინგი.

თქვენ შეგიძლიათ შეცვალოთ მონაცემთა ბაზის მდებარეობა პარამეტრის შეცვლით DBDIR ფაილში /etc/aide.conf.

მიმდინარეობს სკანირება

AIDE ახლა მზად არის გამოიყენოს ახალი მონაცემთა ბაზა. გაუშვით პირველი AIDE შემოწმება ყოველგვარი ცვლილების გარეშე:

aide --check

ამ ბრძანებას გარკვეული დრო დასჭირდება, რაც დამოკიდებულია თქვენი ფაილური სისტემის ზომაზე და სერვერზე ოპერატიული მეხსიერების რაოდენობაზე. სკანირების დასრულების შემდეგ თქვენ უნდა ნახოთ შემდეგი:

Start timestamp: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

ზემოთ მოყვანილი გამომავალი ამბობს, რომ ყველა ფაილი და დირექტორია ემთხვევა AIDE მონაცემთა ბაზას.

ტესტირება AIDE

ნაგულისხმევად, AIDE არ აკონტროლებს ნაგულისხმევ Apache root დირექტორიას /var/www/html. მოდით დავაკონფიგურიროთ AIDE სანახავად. ამისათვის თქვენ უნდა შეცვალოთ ფაილი /etc/aide.conf.

nano /etc/aide.conf

დაამატეთ ზემოთ ხაზი "/root/CONTENT_EX" შემდეგი:

/var/www/html/ CONTENT_EX

შემდეგი, შექმენით ფაილი aide.txt კატალოგში /var/www/html/შემდეგი ბრძანების გამოყენებით:

echo "Test AIDE" > /var/www/html/aide.txt

ახლა გაუშვით AIDE შემოწმება და დარწმუნდით, რომ შექმნილი ფაილი აღმოჩენილია.

aide --check

თქვენ უნდა ნახოთ შემდეგი:

Start timestamp: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

ჩვენ ვხედავთ, რომ შექმნილი ფაილი აღმოჩენილია aide.txt.
აღმოჩენილი ცვლილებების გაანალიზების შემდეგ განაახლეთ AIDE მონაცემთა ბაზა.

aide --update

განახლების შემდეგ ნახავთ შემდეგს:

Start timestamp: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!
New AIDE database written to /var/lib/aide/aide.db.new.gz

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

ზემოთ მოყვანილი ბრძანება შექმნის ახალ მონაცემთა ბაზას aide.db.new.gz კატალოგში

/var/lib/aide/

ამის ნახვა შეგიძლიათ შემდეგი ბრძანებით:

ls -l /var/lib/aide/

შედეგი:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

ახლა ხელახლა დაარქვით ახალი მონაცემთა ბაზა ისე, რომ AIDE გამოიყენოს ახალი მონაცემთა ბაზა შემდგომი ცვლილებების თვალყურის დევნებისთვის. შეგიძლიათ გადარქმევა შემდეგნაირად:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

ხელახლა გაუშვით შემოწმება, რათა დარწმუნდეთ, რომ AIDE იყენებს ახალ მონაცემთა ბაზას:

aide --check

თქვენ უნდა ნახოთ შემდეგი:

Start timestamp: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

ჩვენ ავტომატიზირებთ შემოწმებას

კარგი იდეაა ყოველ დღე AIDE-ის შემოწმება და ანგარიშის ფოსტით გაგზავნა. ამ პროცესის ავტომატიზაცია შესაძლებელია cron-ის გამოყენებით.

nano /etc/crontab

AIDE შემოწმების გასაშვებად ყოველდღე 10:15 საათზე, დაამატეთ შემდეგი ხაზი ფაილის ბოლოს:

15 10 * * * root /usr/sbin/aide --check

AIDE ახლა შეგატყობინებთ ფოსტით. შეგიძლიათ შეამოწმოთ თქვენი ფოსტა შემდეგი ბრძანებით:

tail -f /var/mail/root

AIDE ჟურნალის ნახვა შესაძლებელია შემდეგი ბრძანების გამოყენებით:

tail -f /var/log/aide/aide.log

დასკვნა

ამ სტატიაში ისწავლეთ, თუ როგორ გამოიყენოთ AIDE ფაილში ცვლილებების დასადგენად და სერვერზე არაავტორიზებული წვდომის იდენტიფიცირებისთვის. დამატებითი პარამეტრებისთვის შეგიძლიათ შეცვალოთ /etc/aide.conf კონფიგურაციის ფაილი. უსაფრთხოების მიზეზების გამო, რეკომენდებულია მონაცემთა ბაზის და კონფიგურაციის ფაილის შენახვა მხოლოდ წაკითხვადი მედიაზე. დამატებითი ინფორმაცია შეგიძლიათ იხილოთ დოკუმენტაციაში AIDE Doc.

შეიტყვეთ მეტი კურსის შესახებ.

წყარო: www.habr.com