CentOS 8 मा AIDE (Advanced Intrusion Detection Environment) कसरी स्थापना गर्ने र प्रयोग गर्ने

पाठ्यक्रम सुरु हुनु अघि "लिनक्स प्रशासक" हामीले रोचक सामग्रीको अनुवाद तयार गरेका छौं।

AIDE "Advanced Intrusion Detection Environment" को लागि खडा छ र लिनक्स-आधारित अपरेटिङ सिस्टमहरूमा परिवर्तनहरू अनुगमन गर्ने सबैभन्दा लोकप्रिय प्रणालीहरू मध्ये एक हो। AIDE मालवेयर, भाइरसहरू विरुद्ध सुरक्षा र अनधिकृत गतिविधिहरू पत्ता लगाउन प्रयोग गरिन्छ। फाइलको अखण्डता प्रमाणित गर्न र घुसपैठ पत्ता लगाउन, AIDE ले फाइल जानकारीको डाटाबेस सिर्जना गर्छ र प्रणालीको हालको अवस्थालाई यो डाटाबेससँग तुलना गर्छ। AIDE ले परिमार्जन गरिएका फाइलहरूमा फोकस गरेर घटना अनुसन्धान समय कम गर्न मद्दत गर्छ।

AIDE सुविधाहरू:

• फाइल प्रकार, inode, uid, gid, अनुमति, लिङ्क संख्या, mtime, ctime र atime सहित विभिन्न फाइल विशेषताहरूलाई समर्थन गर्दछ।
• Gzip कम्प्रेसन, SELinux, XAttrs, Posix ACL र फाइल प्रणाली विशेषताहरूको लागि समर्थन।
• md5, sha1, sha256, sha512, rmd160, crc32, आदि सहित विभिन्न एल्गोरिदमहरू समर्थन गर्दछ।
• इमेल मार्फत सूचनाहरू पठाउँदै।

यस लेखमा, हामी CentOS 8 मा घुसपैठ पत्ता लगाउन AIDE कसरी स्थापना र प्रयोग गर्ने भनेर हेर्नेछौं।

पूर्वापेक्षाहरु

• कम्तिमा 8 GB RAM को साथ CentOS 2 चलिरहेको सर्भर।
• रूट पहुँच

सुरु गर्दै

यो पहिले प्रणाली अद्यावधिक गर्न सिफारिस गरिएको छ। यो गर्नको लागि, निम्न आदेश चलाउनुहोस्।

dnf update -y

अद्यावधिक गरेपछि, परिवर्तनहरू प्रभावकारी हुनको लागि आफ्नो प्रणाली पुन: सुरु गर्नुहोस्।

AIDE स्थापना गर्दै

AIDE पूर्वनिर्धारित CentOS 8 भण्डारमा उपलब्ध छ। तपाइँ यसलाई निम्न आदेश चलाएर सजिलै स्थापना गर्न सक्नुहुन्छ:

dnf install aide -y

एक पटक स्थापना पूरा भएपछि, तपाइँ निम्न आदेश प्रयोग गरेर AIDE संस्करण हेर्न सक्नुहुन्छ:

aide --version

तपाईंले निम्न हेर्नु पर्छ:

Aide 0.16

Compiled with the following options:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

उपलब्ध विकल्पहरू aide निम्नानुसार हेर्न सकिन्छ:

aide --help

डाटाबेस सिर्जना र प्रारम्भ गर्दै

AIDE स्थापना गरेपछि तपाईले गर्नु पर्ने पहिलो कुरा यसलाई प्रारम्भ गर्नु हो। प्रारम्भिकरणले सर्भरमा सबै फाइलहरू र डाइरेक्टरीहरूको डाटाबेस (स्न्यापसट) सिर्जना गर्दछ।

डाटाबेस प्रारम्भ गर्न, निम्न आदेश चलाउनुहोस्:

aide --init

तपाईंले निम्न हेर्नु पर्छ:

Start timestamp: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE initialized database at /var/lib/aide/aide.db.new.gz

Number of entries:	49472

---------------------------------------------------
The attributes of the (uncompressed) database(s):
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


End timestamp: 2020-01-16 03:03:44 -0500 (run time: 0m 25s)

माथिको आदेशले नयाँ डाटाबेस सिर्जना गर्नेछ aide.db.new.gz सूचीमा /var/lib/aide। यो निम्न आदेश प्रयोग गरेर देख्न सकिन्छ:

ls -l /var/lib/aide

परिणाम:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE ले यो नयाँ डाटाबेस फाइललाई पुन: नामाकरण नगरेसम्म प्रयोग गर्ने छैन aide.db.gz। यो निम्नानुसार गर्न सकिन्छ:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

यो सिफारिस गरिन्छ कि तपाईले यो डाटाबेसलाई आवधिक रूपमा अद्यावधिक गर्नुहोस् कि परिवर्तनहरू ठीकसँग अनुगमन गरिएको छ भनेर सुनिश्चित गर्न।

तपाईं प्यारामिटर परिवर्तन गरेर डाटाबेस को स्थान परिवर्तन गर्न सक्नुहुन्छ DBDIR फाइलमा /etc/aide.conf.

स्क्यान चलाउँदै

AIDE अब नयाँ डाटाबेस प्रयोग गर्न तयार छ। कुनै पनि परिवर्तन नगरी पहिलो AIDE जाँच चलाउनुहोस्:

aide --check

तपाईंको फाइल प्रणालीको साइज र तपाईंको सर्भरमा रहेको RAM को मात्रामा निर्भर गर्दै यो आदेश पूरा हुन केही समय लाग्नेछ। स्क्यान पूरा भएपछि तपाईंले निम्न देख्नुपर्छ:

Start timestamp: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

माथिको आउटपुटले भन्छ कि सबै फाइलहरू र डाइरेक्टरीहरू AIDE डाटाबेससँग मेल खान्छ।

परीक्षण AIDE

पूर्वनिर्धारित रूपमा, AIDE ले पूर्वनिर्धारित Apache रूट डाइरेक्टरी ट्र्याक गर्दैन /var/www/html. यसलाई हेर्नको लागि AIDE कन्फिगर गरौं। यो गर्नको लागि तपाईंले फाइल परिवर्तन गर्न आवश्यक छ /etc/aide.conf.

nano /etc/aide.conf

माथिको लाइन थप्नुहोस् "/root/CONTENT_EX" निम्न:

/var/www/html/ CONTENT_EX

अर्को, एउटा फाइल सिर्जना गर्नुहोस् aide.txt सूचीमा /var/www/html/निम्न आदेश प्रयोग गरेर:

echo "Test AIDE" > /var/www/html/aide.txt

अब AIDE जाँच चलाउनुहोस् र सुनिश्चित गर्नुहोस् कि सिर्जना गरिएको फाइल पत्ता लगाइएको छ।

aide --check

तपाईंले निम्न हेर्नु पर्छ:

Start timestamp: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

हामी देख्छौं कि सिर्जना गरिएको फाइल पत्ता लगाइएको छ aide.txt.
पत्ता लगाइएको परिवर्तनहरूको विश्लेषण पछि, AIDE डाटाबेस अपडेट गर्नुहोस्।

aide --update

अद्यावधिक पछि तपाईंले निम्न देख्नुहुनेछ:

Start timestamp: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!
New AIDE database written to /var/lib/aide/aide.db.new.gz

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

माथिको आदेशले नयाँ डाटाबेस सिर्जना गर्नेछ aide.db.new.gz सूचीमा

/var/lib/aide/

तपाइँ यसलाई निम्न आदेश संग हेर्न सक्नुहुन्छ:

ls -l /var/lib/aide/

परिणाम:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

अब नयाँ डाटाबेसलाई पुन: नामाकरण गर्नुहोस् ताकि AIDE ले थप परिवर्तनहरू ट्र्याक गर्न नयाँ डाटाबेस प्रयोग गर्दछ। तपाइँ यसलाई निम्न रूपमा पुन: नामाकरण गर्न सक्नुहुन्छ:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

AIDE ले नयाँ डाटाबेस प्रयोग गरिरहेको छ भनी सुनिश्चित गर्न फेरि जाँच चलाउनुहोस्:

aide --check

तपाईंले निम्न हेर्नु पर्छ:

Start timestamp: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

हामी चेक स्वचालित गर्छौं

हरेक दिन AIDE जाँच चलाउनु र रिपोर्ट पठाउनु राम्रो विचार हो। यो प्रक्रिया क्रोन प्रयोग गरेर स्वचालित गर्न सकिन्छ।

nano /etc/crontab

प्रत्येक दिन 10:15 मा AIDE जाँच चलाउन, फाइलको अन्त्यमा निम्न लाइन थप्नुहोस्:

15 10 * * * root /usr/sbin/aide --check

AIDE ले अब तपाईंलाई मेल मार्फत सूचित गर्नेछ। तपाइँ निम्न आदेश संग आफ्नो मेल जाँच गर्न सक्नुहुन्छ:

tail -f /var/mail/root

AIDE लग निम्न आदेश प्रयोग गरेर हेर्न सकिन्छ:

tail -f /var/log/aide/aide.log

निष्कर्षमा

यस लेखमा, तपाईंले फाइल परिवर्तनहरू पत्ता लगाउन र अनाधिकृत सर्भर पहुँच पहिचान गर्न AIDE कसरी प्रयोग गर्ने भनेर सिक्नुभयो। थप सेटिङहरूको लागि, तपाइँ /etc/aide.conf कन्फिगरेसन फाइल सम्पादन गर्न सक्नुहुन्छ। सुरक्षा कारणहरूको लागि, यो डाटाबेस र कन्फिगरेसन फाइल पढ्न-मात्र मिडियामा भण्डारण गर्न सिफारिस गरिन्छ। थप जानकारी कागजातमा फेला पार्न सकिन्छ AIDE कागजात.

पाठ्यक्रम बारे थप जान्नुहोस्।

स्रोत: www.habr.com