CentOS 8 वर AIDE (Advanced Intrusion Detection Environment) कसे स्थापित करावे आणि कसे वापरावे

अभ्यासक्रम सुरू होण्यापूर्वी "लिनक्स प्रशासक" आम्ही मनोरंजक सामग्रीचे भाषांतर तयार केले आहे.

AIDE म्हणजे “Advanced Intrusion Detection Environment” आणि Linux-आधारित ऑपरेटिंग सिस्टीममधील बदलांचे निरीक्षण करण्यासाठी सर्वात लोकप्रिय प्रणालींपैकी एक आहे. AIDE चा वापर मालवेअर, व्हायरसपासून संरक्षण करण्यासाठी आणि अनधिकृत क्रियाकलाप शोधण्यासाठी केला जातो. फाइलच्या अखंडतेची पडताळणी करण्यासाठी आणि घुसखोरी शोधण्यासाठी, AIDE फाइल माहितीचा डेटाबेस तयार करते आणि सिस्टमच्या सद्य स्थितीची या डेटाबेसशी तुलना करते. AIDE सुधारित केलेल्या फायलींवर लक्ष केंद्रित करून घटनेचा तपास वेळ कमी करण्यात मदत करते.

AIDE वैशिष्ट्ये:

• फाइल प्रकार, inode, uid, gid, परवानग्या, लिंक्सची संख्या, mtime, ctime आणि atime यासह विविध फाइल विशेषतांना समर्थन देते.
• Gzip कॉम्प्रेशन, SELinux, XAttrs, Posix ACL आणि फाइल सिस्टम विशेषतांसाठी समर्थन.
• md5, sha1, sha256, sha512, rmd160, crc32, इत्यादींसह विविध अल्गोरिदमना सपोर्ट करते.
• ईमेलद्वारे सूचना पाठवत आहे.

या लेखात, आम्ही CentOS 8 वर घुसखोरी शोधण्यासाठी AIDE कसे स्थापित करावे आणि कसे वापरावे ते पाहू.

पूर्वतयारी

• किमान 8 GB RAM सह CentOS 2 चालवणारा सर्व्हर.
• रूट प्रवेश

प्रारंभ करणे

प्रथम सिस्टम अद्यतनित करण्याची शिफारस केली जाते. हे करण्यासाठी, खालील आदेश चालवा.

dnf update -y

अपडेट केल्यानंतर, बदल प्रभावी होण्यासाठी तुमची प्रणाली रीस्टार्ट करा.

AIDE स्थापित करत आहे

AIDE डीफॉल्ट CentOS 8 रेपॉजिटरीमध्ये उपलब्ध आहे. तुम्ही खालील आदेश चालवून ते सहजपणे स्थापित करू शकता:

dnf install aide -y

एकदा इन्स्टॉलेशन पूर्ण झाल्यावर, तुम्ही खालील कमांड वापरून AIDE आवृत्ती पाहू शकता:

aide --version

आपण खालील पहावे:

Aide 0.16

Compiled with the following options:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

उपलब्ध पर्याय aide खालीलप्रमाणे पाहिले जाऊ शकते:

aide --help

डेटाबेस तयार करणे आणि आरंभ करणे

AIDE इन्स्टॉल केल्यानंतर तुम्हाला सर्वप्रथम ते सुरू करणे आवश्यक आहे. इनिशियलायझेशनमध्ये सर्व्हरवरील सर्व फायली आणि निर्देशिकांचा डेटाबेस (स्नॅपशॉट) तयार करणे समाविष्ट आहे.

डेटाबेस सुरू करण्यासाठी, खालील आदेश चालवा:

aide --init

आपण खालील पहावे:

Start timestamp: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE initialized database at /var/lib/aide/aide.db.new.gz

Number of entries:	49472

---------------------------------------------------
The attributes of the (uncompressed) database(s):
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


End timestamp: 2020-01-16 03:03:44 -0500 (run time: 0m 25s)

वरील कमांड नवीन डेटाबेस तयार करेल aide.db.new.gz कॅटलॉगमध्ये /var/lib/aide. हे खालील आदेश वापरून पाहिले जाऊ शकते:

ls -l /var/lib/aide

निकाल:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE या नवीन डेटाबेस फाइलचे नाव बदलेपर्यंत वापरणार नाही aide.db.gz. हे खालीलप्रमाणे केले जाऊ शकते:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

बदलांचे योग्यरितीने परीक्षण केले जात आहे याची खात्री करण्यासाठी तुम्ही हा डेटाबेस वेळोवेळी अद्ययावत करण्याची शिफारस केली जाते.

पॅरामीटर बदलून तुम्ही डेटाबेसचे स्थान बदलू शकता DBDIR फाइल मध्ये /etc/aide.conf.

स्कॅन चालवत आहे

AIDE आता नवीन डेटाबेस वापरण्यासाठी सज्ज आहे. कोणतेही बदल न करता प्रथम AIDE तपासणी चालवा:

aide --check

तुमच्‍या फाइल सिस्‍टमचा आकार आणि तुमच्‍या सर्व्हरवरील RAM च्‍या प्रमाणानुसार या कमांडला पूर्ण होण्‍यासाठी काही वेळ लागेल. स्कॅन पूर्ण झाल्यावर तुम्हाला खालील गोष्टी दिसल्या पाहिजेत:

Start timestamp: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

वरील आउटपुटमध्ये असे म्हटले आहे की सर्व फायली आणि निर्देशिका AIDE डेटाबेसशी जुळतात.

AIDE चाचणी

डीफॉल्टनुसार, AIDE डीफॉल्ट अपाचे रूट निर्देशिकेचा मागोवा घेत नाही /var/www/html. ते पाहण्यासाठी AIDE कॉन्फिगर करूया. हे करण्यासाठी तुम्हाला फाइल बदलण्याची आवश्यकता आहे /etc/aide.conf.

nano /etc/aide.conf

वरील ओळ जोडा "/root/CONTENT_EX" पुढील:

/var/www/html/ CONTENT_EX

पुढे, एक फाइल तयार करा aide.txt कॅटलॉगमध्ये /var/www/html/खालील आदेश वापरून:

echo "Test AIDE" > /var/www/html/aide.txt

आता AIDE चेक चालवा आणि तयार केलेली फाइल सापडली आहे याची खात्री करा.

aide --check

आपण खालील पहावे:

Start timestamp: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

आपण पाहतो की तयार केलेली फाईल सापडली आहे aide.txt.
आढळलेल्या बदलांचे विश्लेषण केल्यानंतर, AIDE डेटाबेस अद्यतनित करा.

aide --update

अपडेट केल्यानंतर तुम्हाला पुढील गोष्टी दिसतील:

Start timestamp: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!
New AIDE database written to /var/lib/aide/aide.db.new.gz

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

वरील कमांड नवीन डेटाबेस तयार करेल aide.db.new.gz कॅटलॉगमध्ये

/var/lib/aide/

आपण ते खालील आदेशासह पाहू शकता:

ls -l /var/lib/aide/

निकाल:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

आता नवीन डेटाबेसला पुन्हा नाव द्या जेणेकरून AIDE पुढील बदलांचा मागोवा घेण्यासाठी नवीन डेटाबेस वापरेल. तुम्ही त्याचे नाव खालीलप्रमाणे बदलू शकता:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

AIDE नवीन डेटाबेस वापरत आहे याची खात्री करण्यासाठी पुन्हा चेक चालवा:

aide --check

आपण खालील पहावे:

Start timestamp: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

आम्ही चेक स्वयंचलित करतो

दररोज AIDE तपासणे आणि अहवाल मेल करणे ही चांगली कल्पना आहे. क्रॉन वापरून ही प्रक्रिया स्वयंचलित केली जाऊ शकते.

nano /etc/crontab

AIDE चेक दररोज 10:15 वाजता चालवण्यासाठी, फाईलच्या शेवटी खालील ओळ जोडा:

15 10 * * * root /usr/sbin/aide --check

AIDE आता तुम्हाला मेलद्वारे सूचित करेल. तुम्ही खालील आदेशासह तुमचा मेल तपासू शकता:

tail -f /var/mail/root

AIDE लॉग खालील आदेश वापरून पाहिले जाऊ शकते:

tail -f /var/log/aide/aide.log

निष्कर्ष

या लेखात, तुम्ही फाइल बदल शोधण्यासाठी आणि अनधिकृत सर्व्हर प्रवेश ओळखण्यासाठी AIDE कसे वापरावे ते शिकले. अतिरिक्त सेटिंग्जसाठी, तुम्ही /etc/aide.conf कॉन्फिगरेशन फाइल संपादित करू शकता. सुरक्षिततेच्या कारणास्तव, डेटाबेस आणि कॉन्फिगरेशन फाइल केवळ-वाचनीय मीडियावर संग्रहित करण्याची शिफारस केली जाते. अधिक माहिती कागदपत्रांमध्ये आढळू शकते AIDE डॉक.

कोर्सबद्दल अधिक जाणून घ्या.

स्त्रोत: www.habr.com