🥇Ako nainštalovať a používať AIDE (Advanced Intrusion Detection Environment) v CentOS 8

Pred začiatkom kurzu „Administrátor Linuxu“ pripravili sme preklad zaujímavého materiálu.

AIDE sa rozširuje ako "Advanced Intrusion Detection Environment" (vylepšený systém na detekciu narušenia) — je to jeden z najpopulárnejších systémov na monitorovanie zmien v operačných systémoch založených na Linuxe. AIDE sa používa na ochranu pred škodlivým softvérom, vírusmi a na detekciu neoprávnených činností. Na kontrolu integrity súborov a odhaľovanie narušení AIDE vytvára databázu s informáciami o súboroch a porovnáva súčasný stav systému s touto databázou. AIDE pomáha skrátiť čas vyšetrenia incidentov zameraním sa na súbory, ktoré boli zmenené.

Možnosti AIDE:

Podpora rôznych atribútov súborov, vrátane: typu súboru, inode, uid, gid, oprávnení, počtu odkazov, mtime, ctime a atime.
Podpora kompresie Gzip, SELinux, XAttrs, Posix ACL a atribútov súborového systému.
Podpora rôznych algoritmov, vrátane md5, sha1, sha256, sha512, rmd160, crc32 a pod.
Odosielanie upozornení e-mailom.

V tomto článku sa pozrieme na to, ako nainštalovať a používať AIDE na detekciu narušení v CentOS 8.

Predpoklady

Server bežiaci na CentOS 8, minimálne s 2 GB RAM.
root-prístup

Začíname

Najskôr sa odporúča aktualizovať systém. Na to vykonajte nasledujúci príkaz.

dnf update -y

Po aktualizácii reštartujte systém, aby sa zmeny prejavili.

Inštalácia AIDE

AIDE je dostupný v predvolenom repozitári CentOS 8. Môžete ho ľahko nainštalovať vykonaním nasledujúceho príkazu:

dnf install aide -y

Po dokončení inštalácie si môžete prezrieť verziu AIDE pomocou nasledujúceho príkazu:

aide --version

Mali by ste vidieť nasledujúce:

Aide 0.16

Skompilovaný s nasledujúcimi možnosťami:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

Dostupné možnosti aide môžete si pozrieť nasledujúcim spôsobom:

aide --help

Vytvorenie a inicializácia databázy

Prvá vec, ktorú musíte urobiť po inštalácii AIDE — je ju inicializovať. Inicializácia spočíva v vytvorení databázy (snapshotu) všetkých súborov a adresárov servera.

Na inicializáciu databázy vykonajte nasledujúci príkaz:

aide --init

Mali by ste vidieť nasledujúce:

Začiatok časovej pečiatky: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE inicializoval databázu na /var/lib/aide/aide.db.new.gz

Počet položiek:	49472

---------------------------------------------------
Atribúty (dekomprimovanej) databázy:
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


Koniec časovej pečiatky: 2020-01-16 03:03:44 -0500 (celkový čas: 0m 25s)

Horná uvedená príkaz vytvorí novú databázu aide.db.new.gz v adresári /var/lib/aide. Môžete ho vidieť pomocou nasledujúceho príkazu:

ls -l /var/lib/aide

Výsledok:

celkom 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE nebude používať tento nový súbor databázy, kým ho nepremenovate na aide.db.gz. Môžete to urobiť nasledovne:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Odporúča sa pravidelne aktualizovať túto databázu, aby ste zabezpečili potrebný dohľad nad zmenami.

Zmeniť umiestnenie databázy môžete zmenou parametra DBDIR v súbore /etc/aide.conf.

Spustenie kontroly

Teraz je AIDE pripravené na používanie novej databázy. Spustite prvú kontrolu AIDE bez vykonania akýchkoľvek zmien:

aide --check

Vykonanie tohto príkazu potrvá určité časové obdobie v závislosti od veľkosti vášho súborového systému a množstva pamäte RAM na vašom serveri. Po dokončení kontroly by ste mali vidieť nasledovné:

Začiatok časovej pečiatky: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE nenašiel žiadne rozdiely medzi databázou a súborovým systémom. Všetko je v poriadku!!

Uvedený výstup hovorí, že všetky súbory a adresáre zodpovedajú databáze AIDE.

Testujeme AIDE

Podľa predvoleného nastavenia AIDE nesleduje predvolený koreňový adresár Apache /var/www/html. Nastavme AIDE na jeho sledovanie. K tomu musíme upraviť súbor /etc/aide.conf.

nano /etc/aide.conf

Pridajte nad riadok "/root/CONTENT_EX" nasledujúce:

/var/www/html/ CONTENT_EX

Potom vytvorte súbor aide.txt v adresári /var/www/html/, pomocou nasledujúceho príkazu:

echo "Test AIDE" > /var/www/html/aide.txt

Teraz spustite kontrolu AIDE a uistite sa, že vytvorený súbor bude zistený.

aide --check

Mali by ste vidieť nasledujúce:

Začiatok časovej pečiatky: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE našiel rozdiely medzi databázou a súborovým systémom!!

Zhrnutie:
  Celkový počet položiek:	49475
  Pridané položky:		1
  Odstránené položky:		0
  Zmenené položky:		0

---------------------------------------------------
Pridané položky:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Vidíme, že vytvorený súbor bol zistený aide.txt.
Po analýze zistených zmien aktualizujte databázu AIDE.

aide --update

Po aktualizácii uvidíte nasledovné:

Časový údaj začiatku: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE našiel rozdiely medzi databázou a súborovým systémom!!
Nová AIDE databáza bola zapísaná do /var/lib/aide/aide.db.new.gz

Zhrnutie:
  Celkový počet záznamov:	49475
  Pridané záznamy:		1
  Odstránené záznamy:		0
  Zmenené záznamy:		0

---------------------------------------------------
Pridané záznamy:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Horná uvedená príkaz vytvorí novú databázu aide.db.new.gz v adresári

/var/lib/aide/

Môžete si ju prezrieť za pomoci nasledujúcej príkazu:

ls -l /var/lib/aide/

Výsledok:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

Teraz premenovať novú databázu ešte raz, aby AIDE používal novú databázu na sledovanie ďalších zmien. Premenovať môžete nasledovne:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Spustite kontrolu znova, aby ste sa uistili, že AIDE používa novú databázu:

aide --check

Mali by ste vidieť nasledujúce:

Časový údaj začiatku: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE nenašiel žiadne rozdiely medzi databázou a súborovým systémom. Vyzerá to v poriadku!!

Automatizujeme kontrolu.

Je dobrý nápad spúšťať kontrolu AIDE každý deň a zasielať správu e-mailom. Tento proces je možné automatizovať pomocou cron.

nano /etc/crontab

Pre spustenie kontroly AIDE každý deň o 10:15 pridajte na koniec súboru riadok:

15 10 * * * root /usr/sbin/aide --check

Teraz vás AIDE upozorní prostredníctvom e-mailu. Skontrolovať e-mail môžete nasledujúcim príkazom:

tail -f /var/mail/root

Log AIDE môžete pozrieť pomocou nasledujúcej príkazu:

tail -f /var/log/aide/aide.log

Záver

V tomto článku ste sa naučili, ako používať AIDE na zistenie zmien súborov a odhalenie neoprávneného prístupu na server. Pre ďalšie nastavenia môžete upraviť konfiguračný súbor /etc/aide.conf. Z bezpečnostných dôvodov sa odporúča uchovávať databázu a konfiguračný súbor na nosiči dostupnom len na čítanie. Viac informácií nájdete v dokumentácii. AIDE Doc.

Zistiť viac o kurze.

Zdroj: habr.com