របៀបដំឡើង និងប្រើប្រាស់ AIDE (Advanced Intrusion Detection Environment) នៅលើ CentOS 8

មុនពេលចាប់ផ្តើមវគ្គសិក្សា "អ្នកគ្រប់គ្រងលីនុច" យើងបានរៀបចំការបកប្រែនៃសម្ភារៈដែលគួរឱ្យចាប់អារម្មណ៍។

AIDE តំណាងឱ្យ "Advanced Intrusion Detection Environment" និងជាប្រព័ន្ធដ៏ពេញនិយមបំផុតមួយសម្រាប់ត្រួតពិនិត្យការផ្លាស់ប្តូរនៅក្នុងប្រព័ន្ធប្រតិបត្តិការដែលមានមូលដ្ឋានលើលីនុច។ AIDE ត្រូវបានប្រើដើម្បីការពារប្រឆាំងនឹងមេរោគ មេរោគ និងស្វែងរកសកម្មភាពដែលគ្មានការអនុញ្ញាត។ ដើម្បីផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវនៃឯកសារ និងរកឃើញការឈ្លានពាន AIDE បង្កើតមូលដ្ឋានទិន្នន័យនៃព័ត៌មានឯកសារ និងប្រៀបធៀបស្ថានភាពបច្ចុប្បន្ននៃប្រព័ន្ធជាមួយនឹងមូលដ្ឋានទិន្នន័យនេះ។ AIDE ជួយកាត់បន្ថយពេលវេលាស៊ើបអង្កេតឧប្បត្តិហេតុដោយផ្តោតលើឯកសារដែលត្រូវបានកែប្រែ។

លក្ខណៈពិសេសរបស់ AIDE

• គាំទ្រគុណលក្ខណៈឯកសារផ្សេងៗ រួមទាំង៖ ប្រភេទឯកសារ, inode, uid, gid, ការអនុញ្ញាត, ចំនួនតំណ, mtime, ctime និង atime ។
• ការគាំទ្រសម្រាប់ការបង្ហាប់ Gzip, SELinux, XAttrs, Posix ACL និងគុណលក្ខណៈប្រព័ន្ធឯកសារ។
• គាំទ្រក្បួនដោះស្រាយផ្សេងៗរួមទាំង md5, sha1, sha256, sha512, rmd160, crc32 ជាដើម។
• ផ្ញើការជូនដំណឹងតាមអ៊ីមែល។

នៅក្នុងអត្ថបទនេះ យើងនឹងមើលពីរបៀបដំឡើង និងប្រើប្រាស់ AIDE សម្រាប់ការរកឃើញការឈ្លានពាននៅលើ CentOS 8។

តម្រូវការជាមុន

• ម៉ាស៊ីនមេដែលដំណើរការ CentOS 8 ដែលមាន RAM យ៉ាងតិច 2 GB ។
• ការចូលប្រើជា root

ការចាប់ផ្តើម

វាត្រូវបានណែនាំឱ្យធ្វើបច្ចុប្បន្នភាពប្រព័ន្ធជាមុនសិន។ ដើម្បីធ្វើដូចនេះរត់ពាក្យបញ្ជាខាងក្រោម។

dnf update -y

បន្ទាប់ពីធ្វើបច្ចុប្បន្នភាព សូមចាប់ផ្តើមប្រព័ន្ធរបស់អ្នកឡើងវិញដើម្បីឱ្យការផ្លាស់ប្តូរមានប្រសិទ្ធភាព។

ការដំឡើង AIDE

AIDE មាននៅក្នុងឃ្លាំង CentOS 8 លំនាំដើម។ អ្នកអាចដំឡើងវាបានយ៉ាងងាយស្រួលដោយដំណើរការពាក្យបញ្ជាខាងក្រោម៖

dnf install aide -y

នៅពេលដែលការដំឡើងត្រូវបានបញ្ចប់ អ្នកអាចមើលកំណែ AIDE ដោយប្រើពាក្យបញ្ជាខាងក្រោម៖

aide --version

អ្នកគួរតែឃើញដូចខាងក្រោម៖

Aide 0.16

Compiled with the following options:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

ជម្រើសដែលមាន aide អាចត្រូវបានមើលដូចខាងក្រោម:

aide --help

ការបង្កើត និងចាប់ផ្តើមមូលដ្ឋានទិន្នន័យ

រឿងដំបូងដែលអ្នកត្រូវធ្វើបន្ទាប់ពីដំឡើង AIDE គឺត្រូវចាប់ផ្តើមវា។ ការចាប់ផ្តើមមានការបង្កើតមូលដ្ឋានទិន្នន័យ (រូបថត) នៃឯកសារ និងថតទាំងអស់នៅលើម៉ាស៊ីនមេ។

ដើម្បីចាប់ផ្តើមមូលដ្ឋានទិន្នន័យ សូមដំណើរការពាក្យបញ្ជាខាងក្រោម៖

aide --init

អ្នកគួរតែឃើញដូចខាងក្រោម៖

Start timestamp: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE initialized database at /var/lib/aide/aide.db.new.gz

Number of entries:	49472

---------------------------------------------------
The attributes of the (uncompressed) database(s):
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


End timestamp: 2020-01-16 03:03:44 -0500 (run time: 0m 25s)

ពាក្យបញ្ជាខាងលើនឹងបង្កើតមូលដ្ឋានទិន្នន័យថ្មី។ aide.db.new.gz នៅក្នុងកាតាឡុក /var/lib/aide. វាអាចមើលឃើញដោយប្រើពាក្យបញ្ជាខាងក្រោម៖

ls -l /var/lib/aide

លទ្ធផល:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE នឹងមិនប្រើឯកសារមូលដ្ឋានទិន្នន័យថ្មីនេះទេ រហូតដល់វាត្រូវបានប្តូរឈ្មោះទៅជា aide.db.gz. នេះអាចត្រូវបានធ្វើដូចខាងក្រោម:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

វាត្រូវបានណែនាំឱ្យអ្នកធ្វើបច្ចុប្បន្នភាពមូលដ្ឋានទិន្នន័យនេះជាទៀងទាត់ ដើម្បីធានាថាការផ្លាស់ប្តូរត្រូវបានត្រួតពិនិត្យយ៉ាងត្រឹមត្រូវ។

អ្នកអាចផ្លាស់ប្តូរទីតាំងនៃមូលដ្ឋានទិន្នន័យដោយផ្លាស់ប្តូរប៉ារ៉ាម៉ែត្រ DBDIR នៅក្នុងឯកសារ /etc/aide.conf.

កំពុងដំណើរការស្កេន

ឥឡូវនេះ AIDE បានត្រៀមខ្លួនរួចរាល់ហើយក្នុងការប្រើប្រាស់មូលដ្ឋានទិន្នន័យថ្មី។ ដំណើរការការត្រួតពិនិត្យ AIDE ដំបូងដោយមិនធ្វើការផ្លាស់ប្តូរណាមួយឡើយ៖

aide --check

ពាក្យបញ្ជានេះនឹងចំណាយពេលខ្លះដើម្បីបញ្ចប់ អាស្រ័យលើទំហំនៃប្រព័ន្ធឯកសាររបស់អ្នក និងចំនួន RAM នៅលើម៉ាស៊ីនមេរបស់អ្នក។ នៅពេលដែលការស្កេនបានបញ្ចប់ អ្នកគួរតែឃើញដូចខាងក្រោម៖

Start timestamp: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

លទ្ធផលខាងលើនិយាយថាឯកសារ និងថតទាំងអស់ត្រូវគ្នានឹងមូលដ្ឋានទិន្នន័យ AIDE ។

ការធ្វើតេស្ត AIDE

តាមលំនាំដើម AIDE មិនតាមដានថតឫស Apache លំនាំដើមទេ។ /var/www/html. តោះកំណត់រចនាសម្ព័ន្ធ AIDE ដើម្បីមើលវា។ ដើម្បីធ្វើដូច្នេះអ្នកត្រូវផ្លាស់ប្តូរឯកសារ /etc/aide.conf.

nano /etc/aide.conf

បន្ថែមបន្ទាត់ខាងលើ "/root/CONTENT_EX" ដូចខាងក្រោម:

/var/www/html/ CONTENT_EX

បន្ទាប់មកបង្កើតឯកសារ aide.txt នៅក្នុងកាតាឡុក /var/www/html/ដោយប្រើពាក្យបញ្ជាខាងក្រោម៖

echo "Test AIDE" > /var/www/html/aide.txt

ឥឡូវនេះដំណើរការការត្រួតពិនិត្យ AIDE ហើយត្រូវប្រាកដថាឯកសារដែលបានបង្កើតត្រូវបានរកឃើញ។

aide --check

អ្នកគួរតែឃើញដូចខាងក្រោម៖

Start timestamp: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

យើងឃើញថាឯកសារដែលបានបង្កើតត្រូវបានរកឃើញ aide.txt.
បន្ទាប់ពីវិភាគការផ្លាស់ប្តូរដែលបានរកឃើញ ធ្វើបច្ចុប្បន្នភាពមូលដ្ឋានទិន្នន័យ AIDE ។

aide --update

បន្ទាប់ពីការអាប់ដេត អ្នកនឹងឃើញដូចខាងក្រោម៖

Start timestamp: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!
New AIDE database written to /var/lib/aide/aide.db.new.gz

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

ពាក្យបញ្ជាខាងលើនឹងបង្កើតមូលដ្ឋានទិន្នន័យថ្មី។ aide.db.new.gz នៅក្នុងកាតាឡុក

/var/lib/aide/

អ្នកអាចឃើញវាដោយប្រើពាក្យបញ្ជាខាងក្រោម៖

ls -l /var/lib/aide/

លទ្ធផល:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

ឥឡូវនេះប្តូរឈ្មោះមូលដ្ឋានទិន្នន័យថ្មីម្តងទៀតដើម្បីឱ្យ AIDE ប្រើមូលដ្ឋានទិន្នន័យថ្មីដើម្បីតាមដានការផ្លាស់ប្តូរបន្ថែមទៀត។ អ្នកអាចប្តូរឈ្មោះវាដូចខាងក្រោម៖

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

ដំណើរការការត្រួតពិនិត្យម្តងទៀត ដើម្បីធានាថា AIDE កំពុងប្រើមូលដ្ឋានទិន្នន័យថ្មី៖

aide --check

អ្នកគួរតែឃើញដូចខាងក្រោម៖

Start timestamp: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

យើងធ្វើការត្រួតពិនិត្យដោយស្វ័យប្រវត្តិ

វាជាការល្អក្នុងការដំណើរការការត្រួតពិនិត្យ AIDE ជារៀងរាល់ថ្ងៃ ហើយផ្ញើរបាយការណ៍។ ដំណើរការនេះអាចត្រូវបានស្វ័យប្រវត្តិដោយប្រើ cron ។

nano /etc/crontab

ដើម្បីដំណើរការការត្រួតពិនិត្យ AIDE ជារៀងរាល់ថ្ងៃនៅម៉ោង 10:15 សូមបន្ថែមបន្ទាត់ខាងក្រោមទៅចុងបញ្ចប់នៃឯកសារ៖

15 10 * * * root /usr/sbin/aide --check

ឥឡូវនេះ AIDE នឹងជូនដំណឹងដល់អ្នកតាមសំបុត្រ។ អ្នកអាចពិនិត្យសំបុត្ររបស់អ្នកដោយប្រើពាក្យបញ្ជាខាងក្រោម៖

tail -f /var/mail/root

កំណត់ហេតុ AIDE អាចត្រូវបានមើលដោយប្រើពាក្យបញ្ជាខាងក្រោម៖

tail -f /var/log/aide/aide.log

សេចក្តីសន្និដ្ឋាន

នៅក្នុងអត្ថបទនេះ អ្នកបានរៀនពីរបៀបប្រើប្រាស់ AIDE ដើម្បីស្វែងរកការផ្លាស់ប្តូរឯកសារ និងកំណត់ការចូលប្រើម៉ាស៊ីនមេដែលគ្មានការអនុញ្ញាត។ សម្រាប់ការកំណត់បន្ថែម អ្នកអាចកែសម្រួលឯកសារកំណត់រចនាសម្ព័ន្ធ /etc/aide.conf ។ សម្រាប់ហេតុផលសុវត្ថិភាព វាត្រូវបានផ្ដល់អនុសាសន៍ឱ្យរក្សាទុកមូលដ្ឋានទិន្នន័យ និងឯកសារកំណត់រចនាសម្ព័ន្ធនៅលើមេឌៀបានតែអានប៉ុណ្ណោះ។ ព័ត៌មានបន្ថែមអាចរកបាននៅក្នុងឯកសារ បណ្ឌិត AIDE.

ស្វែងយល់បន្ថែមអំពីវគ្គសិក្សា។

ប្រភព: www.habr.com