🥇Kako namestiti in uporabljati AIDE (Napreden sistem za odkrivanje vdorov) v CentOS 8

Pred začetkom tečaja "Administrator Linuxa" pripravili smo prevod zanimljive vsebine.

AIDE pomeni "Advanced Intrusion Detection Environment" (izpopolnjen sistem za zaznavanje vdorov) — to je eden najbolj priljubljenih sistemov za spremljanje sprememb v operacijskih sistemih na osnovi Linuxa. AIDE se uporablja za zaščito pred zlonamernimi programi, virusi in zaznavanje nepooblaščenih dejanj. Za preverjanje celovitosti datotek in odkrivanje vdorov AIDE ustvari bazo podatkov z informacijami o datotekah in primerja trenutno stanje sistema s to bazo. AIDE pomaga skrajšati čas preiskave incidentov, saj se osredotoča na datoteke, ki so bile spremenjene.

Možnosti AIDE:

Podpora različnim atributom datotek, vključno z: tip datoteke, inode, uid, gid, dovoljenja, število povezav, mtime, ctime in atime.
Podpora za stiskanje Gzip, SELinux, XAttrs, Posix ACL in atribute datotečnega sistema.
Podpora za različne algoritme, vključno z md5, sha1, sha256, sha512, rmd160, crc32 itd.
Pošiljanje obvestil po elektronski pošti.

V tem članku bomo obravnavali, kako namestiti in uporabljati AIDE za zaznavanje vdorov v CentOS 8.

Predpogoji

Strežnik, ki deluje pod CentOS 8, z vsaj 2 GB RAM-a.
root-dostop

Začnemo

Najprej je priporočljivo posodobiti sistem. To naredite z naslednjim ukazom.

dnf update -y

Po posodobitvi ponovno zaženite sistem, da spremembe začnejo veljati.

Namestitev AIDE

AIDE je na voljo v privzetem repozitoriju CentOS 8. Enostavno ga lahko namestite z naslednjim ukazom:

dnf install aide -y

Po končani namestitvi si lahko ogledate različico AIDE z naslednjim ukazom:

aide --version

Videti bi morali naslednje:

Aide 0.16

Sestavljen z naslednjimi možnostmi:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

Na voljo možnosti aide lahko si ogledate na naslednji način:

aide --help

Ustvarjanje in inicializacija baze podatkov

Prvo, kar morate narediti po namestitvi AIDE, je, da jo inicializirate. Inicializacija vključuje ustvarjanje baze podatkov (posnetka) vseh datotek in map strežnika.

Za inicializacijo baze podatkov uporabite naslednji ukaz:

aide --init

Videti bi morali naslednje:

Časovni žig začetka: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE je inicializiral bazo podatkov na /var/lib/aide/aide.db.new.gz

Število vnosov:	49472

---------------------------------------------------
Atributi (nekompresirane) baze podatkov:
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


Časovni žig konca: 2020-01-16 03:03:44 -0500 (čas izvajanja: 0m 25s)

Zgornja ukaz bo ustvarila novo bazo podatkov aide.db.new.gz v imeniku /var/lib/aide. To lahko vidimo z naslednjim ukazom:

ls -l /var/lib/aide

Rezultat:

skupaj 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE ne bo uporabljal tega novega datoteke baze podatkov, dokler je ne preimenujete v aide.db.gz. To lahko storite na naslednji način:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Priporočljivo je redno posodabljati to bazo podatkov, da zagotovite potrebno spremljanje sprememb.

Spremenite lokacijo baze z nastavitvijo parametra DBDIR в файле /etc/aide.conf.

Zaženi preverjanje

Zdaj je AIDE pripravljen za uporabo nove baze podatkov. Začnite prvo preverjanje AIDE, ne da bi naredili kakršne koli spremembe:

aide --check

Izvajanje tega ukaza bo trajalo nekaj časa, odvisno od velikosti vašega datotečnega sistema in količine pomnilnika na vašem strežniku. Po končanem preverjanju bi morali videti naslednje:

Časovni žig začetka: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE ni našel razlik med bazo podatkov in datotečnim sistemom. Vse je v redu!!

Zgornji izhod navaja, da vsi datoteki in imeniki ustrezajo bazi podatkov AIDE.

Testiranje AIDE

Privzeto AIDE ne spremlja privzete korenske mape Apache /var/www/html. Nastavimo AIDE, da ga pregleduje. To lahko storite tako, da spremenite datoteko /etc/aide.conf.

nano /etc/aide.conf

Dodajte nad vrstico "/root/CONTENT_EX" naslednje:

/var/www/html/ CONTENT_EX

Nato ustvarite datoteko aide.txt v imeniku /var/www/html/, z uporabo naslednjega ukaza:

echo "Test AIDE" > /var/www/html/aide.txt

Zdaj zaženite preverjanje AIDE in se prepričajte, da bo ustvarjena datoteka odkrita.

aide --check

Videti bi morali naslednje:

Časovni žig začetka: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE je našel razlike med bazo in datotečnim sistemom!!

Povzetek:
  Skupno število vnosov:	49475
  Dodani vnosi:		1
  Odstranjeni vnosi:		0
  Spremenjeni vnosi:		0

---------------------------------------------------
Dodani vnosi:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Vidimo, da je bila ustvarjena datoteka odkrita aide.txt.
Po analizi odkritih sprememb posodobite bazo podatkov AIDE.

aide --update

Po posodobitvi boste videli naslednje:

Časovni žig začetka: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE je našel razlike med podatkovno bazo in datotečnim sistemom!!
Nova AIDE podatkovna baza je bila napisana v /var/lib/aide/aide.db.new.gz

Povzetek:
  Skupno število vnosov:	49475
  Dodani vnosi:		1
  Odstranjeni vnosi:		0
  Spremenjeni vnosi:		0

---------------------------------------------------
Dodani vnosi:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Zgornja ukaz bo ustvarila novo bazo podatkov aide.db.new.gz v imeniku

/var/lib/aide/

Lahko jo vidite s pomočjo naslednjega ukaza:

ls -l /var/lib/aide/

Rezultat:

skupaj 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

Sedaj ponovno preimenujte novo podatkovno bazo, da bo AIDE za sledenje prihodnjim spremembam uporabljala novo bazo. Preimenujete jo lahko tako:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Znova zaženite preverjanje, da se prepričate, da AIDE uporablja novo podatkovno bazo:

aide --check

Videti bi morali naslednje:

Časovni žig začetka: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE ni našel razlik med podatkovno bazo in datotečnim sistemom. Vse je v redu!!

Avtomatiziramo preverjanje

To je dobra ideja — izvajati preverjanje AIDE vsak dan in poslati poročilo po e-pošti. Ta postopek lahko avtomatiziramo s cron.

nano /etc/crontab

Za izvajanje preverjanja AIDE vsak dan ob 10:15 dodajte na konec datoteke naslednji vrstico:

15 10 * * * root /usr/sbin/aide --check

Sedaj vas bo AIDE obvestil po e-pošti. Preverite pošto lahko s pomočjo naslednjega ukaza:

tail -f /var/mail/root

AIDE dnevnik lahko vidite s pomočjo naslednjega ukaza:

tail -f /var/log/aide/aide.log

Zaključek

V tem članku ste se naučili, kako uporabljati AIDE za odkrivanje sprememb datotek in odkrivanje nepooblaščenega dostopa do strežnika. Za dodatne nastavitve lahko spremenite konfiguracijsko datoteko /etc/aide.conf. Zaradi varnosti je priporočljivo, da podatkovno bazo in konfiguracijsko datoteko shranite na nosilcu, ki je dostopno samo za branje. Dodatne informacije lahko najdete v dokumentaciji. AIDE Doc.

Izvedite več o tečaju.

Izvor: habr.com