CentOS 8-ൽ AIDE (അഡ്വാൻസ്‌ഡ് ഇൻട്രൂഷൻ ഡിറ്റക്ഷൻ എൻവയോൺമെന്റ്) എങ്ങനെ ഇൻസ്റ്റാൾ ചെയ്യുകയും ഉപയോഗിക്കുകയും ചെയ്യാം

കോഴ്‌സ് ആരംഭിക്കുന്നതിന് മുമ്പ് "ലിനക്സ് അഡ്മിനിസ്ട്രേറ്റർ" രസകരമായ മെറ്റീരിയലിന്റെ വിവർത്തനം ഞങ്ങൾ തയ്യാറാക്കിയിട്ടുണ്ട്.

AIDE എന്നത് "അഡ്വാൻസ്‌ഡ് ഇൻട്രൂഷൻ ഡിറ്റക്ഷൻ എൻവയോൺമെന്റ്" എന്നതിന്റെ ചുരുക്കപ്പേരാണ്, കൂടാതെ ലിനക്സ് അധിഷ്ഠിത ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളിലെ മാറ്റങ്ങൾ നിരീക്ഷിക്കുന്നതിനുള്ള ഏറ്റവും ജനപ്രിയമായ സിസ്റ്റങ്ങളിലൊന്നാണിത്. ക്ഷുദ്രവെയർ, വൈറസുകൾ എന്നിവയിൽ നിന്ന് പരിരക്ഷിക്കുന്നതിനും അനധികൃത പ്രവർത്തനങ്ങൾ കണ്ടെത്തുന്നതിനും AIDE ഉപയോഗിക്കുന്നു. ഫയൽ സമഗ്രത പരിശോധിക്കുന്നതിനും നുഴഞ്ഞുകയറ്റങ്ങൾ കണ്ടെത്തുന്നതിനും, AIDE ഫയൽ വിവരങ്ങളുടെ ഒരു ഡാറ്റാബേസ് സൃഷ്ടിക്കുകയും ഈ ഡാറ്റാബേസുമായി സിസ്റ്റത്തിന്റെ നിലവിലെ അവസ്ഥ താരതമ്യം ചെയ്യുകയും ചെയ്യുന്നു. പരിഷ്കരിച്ച ഫയലുകളിൽ ശ്രദ്ധ കേന്ദ്രീകരിച്ച് സംഭവ അന്വേഷണ സമയം കുറയ്ക്കാൻ AIDE സഹായിക്കുന്നു.

AIDE സവിശേഷതകൾ:

• ഫയൽ തരം, ഐനോഡ്, uid, gid, അനുമതികൾ, ലിങ്കുകളുടെ എണ്ണം, mtime, ctime, atime എന്നിവ ഉൾപ്പെടെ വിവിധ ഫയൽ ആട്രിബ്യൂട്ടുകളെ പിന്തുണയ്ക്കുന്നു.
• Gzip കംപ്രഷൻ, SELinux, XAttrs, Posix ACL, ഫയൽ സിസ്റ്റം ആട്രിബ്യൂട്ടുകൾ എന്നിവയ്ക്കുള്ള പിന്തുണ.
• md5, sha1, sha256, sha512, rmd160, crc32 എന്നിവയുൾപ്പെടെയുള്ള വിവിധ അൽഗോരിതങ്ങൾ പിന്തുണയ്ക്കുന്നു.
• ഇമെയിൽ വഴി അറിയിപ്പുകൾ അയയ്ക്കുന്നു.

ഈ ലേഖനത്തിൽ, CentOS 8-ൽ നുഴഞ്ഞുകയറ്റം കണ്ടെത്തുന്നതിന് AIDE എങ്ങനെ ഇൻസ്റ്റാൾ ചെയ്യാമെന്നും ഉപയോഗിക്കാമെന്നും ഞങ്ങൾ നോക്കാം.

മുൻവ്യവസ്ഥകൾ

• CentOS 8-ൽ പ്രവർത്തിക്കുന്ന സെർവർ, കുറഞ്ഞത് 2 GB റാം.
• റൂട്ട് ആക്സസ്

ആരംഭിക്കുന്നു

ആദ്യം സിസ്റ്റം അപ്ഡേറ്റ് ചെയ്യാൻ ശുപാർശ ചെയ്യുന്നു. ഇത് ചെയ്യുന്നതിന്, ഇനിപ്പറയുന്ന കമാൻഡ് പ്രവർത്തിപ്പിക്കുക.

dnf update -y

പരിഷ്കരിച്ച ശേഷം, മാറ്റങ്ങൾ പ്രാബല്യത്തിൽ വരുന്നതിനായി നിങ്ങളുടെ സിസ്റ്റം പുനരാരംഭിക്കുക.

AIDE ഇൻസ്റ്റാൾ ചെയ്യുന്നു

AIDE ഡിഫോൾട്ട് CentOS 8 റിപ്പോസിറ്ററിയിൽ ലഭ്യമാണ്. താഴെ പറയുന്ന കമാൻഡ് പ്രവർത്തിപ്പിച്ച് നിങ്ങൾക്ക് ഇത് എളുപ്പത്തിൽ ഇൻസ്റ്റാൾ ചെയ്യാം:

dnf install aide -y

ഇൻസ്റ്റാളേഷൻ പൂർത്തിയായിക്കഴിഞ്ഞാൽ, ഇനിപ്പറയുന്ന കമാൻഡ് ഉപയോഗിച്ച് നിങ്ങൾക്ക് AIDE പതിപ്പ് കാണാൻ കഴിയും:

aide --version

നിങ്ങൾ ഇനിപ്പറയുന്നവ കാണണം:

Aide 0.16

Compiled with the following options:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

ലഭ്യമായ ഓപ്ഷനുകൾ aide можно посмотреть следующим образом:

aide --help

ഡാറ്റാബേസ് സൃഷ്ടിക്കുകയും ആരംഭിക്കുകയും ചെയ്യുന്നു

AIDE ഇൻസ്റ്റാൾ ചെയ്ത ശേഷം നിങ്ങൾ ആദ്യം ചെയ്യേണ്ടത് അത് ആരംഭിക്കുക എന്നതാണ്. സെർവറിലെ എല്ലാ ഫയലുകളുടെയും ഡയറക്‌ടറികളുടെയും ഒരു ഡാറ്റാബേസ് (സ്‌നാപ്പ്‌ഷോട്ട്) സൃഷ്‌ടിക്കുന്നതാണ് ഇനീഷ്യലൈസേഷൻ.

ഡാറ്റാബേസ് ആരംഭിക്കുന്നതിന്, ഇനിപ്പറയുന്ന കമാൻഡ് പ്രവർത്തിപ്പിക്കുക:

aide --init

നിങ്ങൾ ഇനിപ്പറയുന്നവ കാണണം:

Start timestamp: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE initialized database at /var/lib/aide/aide.db.new.gz

Number of entries:	49472

---------------------------------------------------
The attributes of the (uncompressed) database(s):
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


End timestamp: 2020-01-16 03:03:44 -0500 (run time: 0m 25s)

മുകളിലുള്ള കമാൻഡ് ഒരു പുതിയ ഡാറ്റാബേസ് സൃഷ്ടിക്കും aide.db.new.gz കാറ്റലോഗിൽ /var/lib/aide. ഇനിപ്പറയുന്ന കമാൻഡ് ഉപയോഗിച്ച് ഇത് കാണാൻ കഴിയും:

ls -l /var/lib/aide

ഫലം:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

പേരുമാറ്റുന്നത് വരെ AIDE ഈ പുതിയ ഡാറ്റാബേസ് ഫയൽ ഉപയോഗിക്കില്ല aide.db.gz. ഇത് ഇനിപ്പറയുന്ന രീതിയിൽ ചെയ്യാം:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

മാറ്റങ്ങൾ ശരിയായി നിരീക്ഷിക്കപ്പെടുന്നുവെന്ന് ഉറപ്പാക്കാൻ ഈ ഡാറ്റാബേസ് കാലാകാലങ്ങളിൽ അപ്ഡേറ്റ് ചെയ്യാൻ ശുപാർശ ചെയ്യുന്നു.

പരാമീറ്റർ മാറ്റുന്നതിലൂടെ നിങ്ങൾക്ക് ഡാറ്റാബേസിന്റെ സ്ഥാനം മാറ്റാൻ കഴിയും DBDIR ഫയലിൽ /etc/aide.conf.

ഒരു സ്കാൻ പ്രവർത്തിപ്പിക്കുന്നു

AIDE ഇപ്പോൾ പുതിയ ഡാറ്റാബേസ് ഉപയോഗിക്കാൻ തയ്യാറാണ്. മാറ്റങ്ങളൊന്നും വരുത്താതെ ആദ്യ AIDE പരിശോധന പ്രവർത്തിപ്പിക്കുക:

aide --check

നിങ്ങളുടെ ഫയൽ സിസ്റ്റത്തിന്റെ വലിപ്പവും സെർവറിലെ റാമിന്റെ അളവും അനുസരിച്ച് ഈ കമാൻഡ് പൂർത്തിയാക്കാൻ കുറച്ച് സമയമെടുക്കും. സ്കാൻ പൂർത്തിയായിക്കഴിഞ്ഞാൽ നിങ്ങൾ ഇനിപ്പറയുന്നവ കാണും:

Start timestamp: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

എല്ലാ ഫയലുകളും ഡയറക്‌ടറികളും AIDE ഡാറ്റാബേസുമായി പൊരുത്തപ്പെടുന്നതായി മുകളിലുള്ള ഔട്ട്‌പുട്ട് പറയുന്നു.

AIDE പരീക്ഷിക്കുന്നു

സ്ഥിരസ്ഥിതിയായി, AIDE സ്ഥിരസ്ഥിതി അപ്പാച്ചെ റൂട്ട് ഡയറക്ടറി ട്രാക്ക് ചെയ്യുന്നില്ല /var/www/html. അത് കാണുന്നതിന് നമുക്ക് AIDE കോൺഫിഗർ ചെയ്യാം. ഇത് ചെയ്യുന്നതിന്, നിങ്ങൾ ഫയൽ മാറ്റേണ്ടതുണ്ട് /etc/aide.conf.

nano /etc/aide.conf

മുകളിലെ വരി ചേർക്കുക "/root/CONTENT_EX" ഇനിപ്പറയുന്നവ:

/var/www/html/ CONTENT_EX

അടുത്തതായി, ഒരു ഫയൽ സൃഷ്ടിക്കുക aide.txt കാറ്റലോഗിൽ /var/www/html/ഇനിപ്പറയുന്ന കമാൻഡ് ഉപയോഗിച്ച്:

echo "Test AIDE" > /var/www/html/aide.txt

ഇപ്പോൾ AIDE ചെക്ക് പ്രവർത്തിപ്പിച്ച് സൃഷ്ടിച്ച ഫയൽ കണ്ടെത്തിയെന്ന് ഉറപ്പാക്കുക.

aide --check

നിങ്ങൾ ഇനിപ്പറയുന്നവ കാണണം:

Start timestamp: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

സൃഷ്ടിച്ച ഫയൽ കണ്ടെത്തിയതായി ഞങ്ങൾ കാണുന്നു aide.txt.
കണ്ടെത്തിയ മാറ്റങ്ങൾ വിശകലനം ചെയ്ത ശേഷം, AIDE ഡാറ്റാബേസ് അപ്ഡേറ്റ് ചെയ്യുക.

aide --update

После обновления вы увидите следующее:

Start timestamp: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!
New AIDE database written to /var/lib/aide/aide.db.new.gz

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

മുകളിലുള്ള കമാൻഡ് ഒരു പുതിയ ഡാറ്റാബേസ് സൃഷ്ടിക്കും aide.db.new.gz കാറ്റലോഗിൽ

/var/lib/aide/

ഇനിപ്പറയുന്ന കമാൻഡ് ഉപയോഗിച്ച് നിങ്ങൾക്ക് ഇത് കാണാൻ കഴിയും:

ls -l /var/lib/aide/

ഫലം:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

ഇപ്പോൾ പുതിയ ഡാറ്റാബേസിന്റെ പേരുമാറ്റുക, അതുവഴി കൂടുതൽ മാറ്റങ്ങൾ ട്രാക്കുചെയ്യുന്നതിന് AIDE പുതിയ ഡാറ്റാബേസ് ഉപയോഗിക്കുന്നു. നിങ്ങൾക്ക് ഇത് ഇനിപ്പറയുന്ന രീതിയിൽ പുനർനാമകരണം ചെയ്യാം:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

AIDE പുതിയ ഡാറ്റാബേസ് ഉപയോഗിക്കുന്നുണ്ടെന്ന് ഉറപ്പാക്കാൻ ചെക്ക് വീണ്ടും പ്രവർത്തിപ്പിക്കുക:

aide --check

നിങ്ങൾ ഇനിപ്പറയുന്നവ കാണണം:

Start timestamp: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

ഞങ്ങൾ ചെക്ക് ഓട്ടോമേറ്റ് ചെയ്യുന്നു

എല്ലാ ദിവസവും AIDE പരിശോധന നടത്തി റിപ്പോർട്ട് മെയിൽ ചെയ്യുന്നത് നല്ലതാണ്. ക്രോൺ ഉപയോഗിച്ച് ഈ പ്രക്രിയ ഓട്ടോമേറ്റ് ചെയ്യാവുന്നതാണ്.

nano /etc/crontab

എല്ലാ ദിവസവും 10:15-ന് AIDE പരിശോധന നടത്തുന്നതിന്, ഫയലിന്റെ അവസാനം ഇനിപ്പറയുന്ന വരി ചേർക്കുക:

15 10 * * * root /usr/sbin/aide --check

AIDE ഇപ്പോൾ നിങ്ങളെ മെയിൽ വഴി അറിയിക്കും. ഇനിപ്പറയുന്ന കമാൻഡ് ഉപയോഗിച്ച് നിങ്ങൾക്ക് നിങ്ങളുടെ മെയിൽ പരിശോധിക്കാം:

tail -f /var/mail/root

ഇനിപ്പറയുന്ന കമാൻഡ് ഉപയോഗിച്ച് AIDE ലോഗ് കാണാൻ കഴിയും:

tail -f /var/log/aide/aide.log

തീരുമാനം

ഈ ലേഖനത്തിൽ, ഫയൽ മാറ്റങ്ങൾ കണ്ടെത്തുന്നതിനും അനധികൃത സെർവർ ആക്സസ് തിരിച്ചറിയുന്നതിനും AIDE എങ്ങനെ ഉപയോഗിക്കാമെന്ന് നിങ്ങൾ പഠിച്ചു. അധിക ക്രമീകരണങ്ങൾക്കായി, നിങ്ങൾക്ക് /etc/aide.conf കോൺഫിഗറേഷൻ ഫയൽ എഡിറ്റ് ചെയ്യാം. സുരക്ഷാ കാരണങ്ങളാൽ, ഡാറ്റാബേസും കോൺഫിഗറേഷൻ ഫയലും റീഡ്-ഒൺലി മീഡിയയിൽ സൂക്ഷിക്കാൻ ശുപാർശ ചെയ്യുന്നു. കൂടുതൽ വിവരങ്ങൾ ഡോക്യുമെന്റേഷനിൽ കാണാം എയ്‌ഡി ഡോ.

കോഴ്സിനെക്കുറിച്ച് കൂടുതലറിയുക.

അവലംബം: www.habr.com