ProHoster > Blog > Administrim > Si të instaloni dhe përdorni AIDE (Mjedisi i Avancuar për Identifikimin e Pjesëve të Ndërhyrjes) në CentOS 8

Si të instaloni dhe përdorni AIDE (Mjedisi i Avancuar për Identifikimin e Pjesëve të Ndërhyrjes) në CentOS 8

Në prag të nisjes së kursit "Administrator Linux" kemi përgatitur një përkthim të një materiali interesant.

Si të instaloni dhe përdorni AIDE (Mjedisi i Avancuar për Identifikimin e Pjesëve të Ndërhyrjes) në CentOS 8

AIDE do tĂ« thotĂ« "Advanced Intrusion Detection Environment" (Mjedisi i Avancuar i Zbulimit tĂ« ShqetĂ«simeve) — kjo Ă«shtĂ« njĂ« nga sistemet mĂ« tĂ« njohura pĂ«r monitorimin e ndryshimeve nĂ« sistemet operative tĂ« bazuara nĂ« Linux. AIDE pĂ«rdoret pĂ«r mbrojtje nga malware, viruse dhe pĂ«r tĂ« zbuluar veprime tĂ« paautorizuara. PĂ«r tĂ« verifikuar integritetin e skedarĂ«ve dhe pĂ«r tĂ« zbuluar shqetĂ«simet, AIDE krijon njĂ« bazĂ« tĂ« dhĂ«nash me informacion rreth skedarĂ«ve dhe krahason gjendjen aktuale tĂ« sistemit me kĂ«tĂ« bazĂ«. AIDE ndihmon nĂ« reduktimin e kohĂ«s sĂ« hetimit tĂ« incidenteve duke u pĂ«rqendruar nĂ« skedarĂ«t qĂ« janĂ« ndryshuar.

Aftësitë e AIDE:

  • MbĂ«shtetje pĂ«r atributet e ndryshme tĂ« skedarĂ«ve, pĂ«rfshirĂ«: lloji i skedarit, inode, uid, gid, lejet, numrin e lidhjeve, mtime, ctime dhe atime.
  • MbĂ«shtetje pĂ«r kompresimin Gzip, SELinux, XAttrs, Posix ACL dhe atributet e sistemit tĂ« skedarĂ«ve.
  • MbĂ«shtetje pĂ«r algoritme tĂ« ndryshme, duke pĂ«rfshirĂ« md5, sha1, sha256, sha512, rmd160, crc32 etj.
  • DĂ«rgimi i njoftimeve me email.

Në këtë artikull, ne do të shqyrtojmë se si të instaloni dhe përdorni AIDE për zbulimin e shqetësimeve në CentOS 8.

KĂ«rkesat paraprake

  • NjĂ« server i menaxhuar nga CentOS 8, minimum me 2 GB RAM.
  • akses root

Të fillojmë

Së pari, rekomandohet të përditësoni sistemin. Për këtë, jepni komandën e mëposhtme.

dnf update -y

Pas përditësimit, rinisni sistemin që ndryshimet të hyjnë në fuqi.

Instalimi i AIDE

AIDE është në depozitën standarde të CentOS 8. Ju mund ta instaloni lehtësisht duke dhënë komandën e mëposhtme:

dnf install aide -y

Pasi të përfundojë instalimi, mund të shihni versionin e AIDE me komandën e mëposhtme:

aide --version

Ju duhet të shihni këtë:

Aide 0.16

Kompiliuar me opsionet e mëposhtme:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "\/etc\/aide.conf"

Parametrat e disponueshëm aide mund të shihen kështu:

aide --help

Si të instaloni dhe përdorni AIDE (Mjedisi i Avancuar për Identifikimin e Pjesëve të Ndërhyrjes) në CentOS 8

Krijimi dhe inicializimi i bazës së të dhënave

Gjëja e parë që ju nevojitet pas instalimit të AIDE është ta inicializoni atë. Inicializimi përfshin krijimin e një baze të dhënash (fotografi) të të gjitha skedarëve dhe katalogëve të serverit.

Për të inicializuar bazën e të dhënave, jepni komandën e mëposhtme:

aide --init

Ju duhet të shihni këtë:

Koha fillestare: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE inicializoi bazën e të dhënave në /var/lib/aide/aide.db.new.gz

Numri i hyrjeve:	49472

---------------------------------------------------
Atributet e bazës së të dhënave (të pamënyrësuar):
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


Koha përfundimtare: 2020-01-16 03:03:44 -0500 (koha e ekzekutimit: 0m 25s)

Komanda e lartë do të krijojë një bazë të re të dhënash aide.db.new.gz në katalogun /var/lib/aide. Ajo mund të shihet duke përdorur komandën e mëposhtme:

ls -l /var/lib/aide

Rezultati:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE nuk do ta përdorë këtë skedë të re të bazës së të dhënave derisa ajo të ribëhet aide.db.gz. Kjo mund të bëhet si më poshtë:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Rekomandohet të përditësoni këtë bazë të dhënash për të siguruar monitorimin e nevojshëm të ndryshimeve.

Ndonjëherë mund të ndryshoni vendndodhjen e bazës duke ndryshuar parametrin DBDIR në skedarin /etc/aide.conf.

Fillimi i verifikimit

Tani AIDE është gati të përdorë këtë bazë të dhënash të re. Ekzekutoni verifikimin e parë AIDE, pa bërë ndryshime:

aide --check

Ekzekutimi i kësaj komande do të marrë një kohë të caktuar në varësi të madhësisë së sistemit tuaj të skedarëve dhe shumës së kujtesës ram në serverin tuaj. Pasi të përfundojë verifikimi, duhet të shihni si më poshtë:

Koha fillestare: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE nuk gjeti DALLIME midis bazës së të dhënave dhe sistemit të skedarëve. Duket në rregull!!

Doli e lartpërmendur thotë se të gjitha skedarët dhe katalogët përputhen me bazën e të dhënave AIDE.

Testimi i AIDE

Nga e cila AIDE nuk monitorson katalogun parazgjedhës të rrënjës Apache /var/www/html. Le të konfigurojmë AIDE për të parë atë. Për këtë, duhet të ndryshoni skedarin /etc/aide.conf.

nano /etc/aide.conf

Shtoni mbi rreshtin "/root/CONTENT_EX" si më poshtë:

/var/www/html/ CONTENT_EX

Më pas, krijoni skedarin aide.txt në katalogun /var/www/html/, duke përdorur komandën e mëposhtme:

echo "Test AIDE" > /var/www/html/aide.txt

Tani ekzekutoni verifikimin e AIDE dhe sigurohuni që skedari i krijuar të zbullohet.

aide --check

Ju duhet të shihni këtë:

Koha fillestare: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE gjeti dallime midis bazës së të dhënave dhe sistemit të skedarëve!!

PĂ«rmbledhje:
  Numri total i hyrjeve:	49475
  Hyrje të shtuar:		1
  Hyrje të hequra:		0
  Hyrje të ndryshuara:		0

---------------------------------------------------
Hyrje të shtuara:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Ne shohim se skedari i krijuar është zbuluar aide.txt.
Pas analizimit të ndryshimeve të zbuluara, përditësoni bazën e të dhënave AIDE.

aide --update

Pas përditësimit do të shihni si më poshtë:

Koha e fillimit: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE gjeti ndryshime midis bazës së të dhënave dhe sistemit të skedarëve!!
E reja e bazës së të dhënave AIDE është shkruar në /var/lib/aide/aide.db.new.gz

PĂ«rmbledhje:
  Numri total i hyrjeve:	49475
  Hyrje të shtuara:		1
  Hyrje të larguara:		0
  Hyrje të ndryshuara:		0

---------------------------------------------------
Hyrjet e shtuara:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Komanda e lartë do të krijojë një bazë të re të dhënash aide.db.new.gz në katalogun

/var/lib/aide/

Mund ta shihni atë duke përdorur komandën e mëposhtme:

ls -l /var/lib/aide/

Rezultati:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

Tani rinomi bazën e dhënave të re përsëri, në mënyrë që AIDE të përdorë bazën e re për të ndjekur ndryshime të ardhshme. Rinovimi mund të bëhet në këtë mënyrë:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Rinisni kontrollin për të siguruar që AIDE po përdor bazën e re të të dhënave:

aide --check

Duhet të shihni të siguiente:

Koha e fillimit: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE nuk gjeti asnjë ndryshim midis bazës së të dhënave dhe sistemit të skedarëve. Duket mirë!!

Automatizojmë kontrollin

ËshtĂ« njĂ« ide e mirĂ« tĂ« kryeni kontrollin AIDE çdo ditĂ« dhe tĂ« dĂ«rgoni raportin me email. Ky proces mund tĂ« automatizohet me cron.

nano /etc/crontab

Për të nisur kontrollin AIDE çdo ditë në 10:15, shtoni në fund të skedarit këtë rresht:

15 10 * * * root /usr/sbin/aide --check

Tani AIDE do t'ju njoftojë përmes postës. Mund të kontrolloni postën me komandën e mëposhtme:

tail -f /var/mail/root

Logu AIDE mund të shikohet me komandën e mëposhtme:

tail -f /var/log/aide/aide.log

PĂ«rfundim

Në këtë artikull mësuat si të përdorni AIDE për të zbuluar ndryshimet në skedarë dhe për të identifikuar qasjen e paautorizuar në server. Për konfigurime shtesë, mund të ndryshoni skedarin e konfigurimit /etc/aide.conf. Për qëllime sigurie, rekomandohet që të mbani bazën e të dhënave dhe skedarin e konfigurimit në një pajisje që është e aksesueshme vetëm për lexim. Më shumë informacione mund të merren në dokumentacionin AIDE Doc.

Mëso më shumë për kursin.

Burimi: habr.com

Blini hosting tĂ« besueshĂ«m pĂ«r faqe interneti me mbrojtje nga DDoS, serverĂ« VPS VDS đŸ”„ Blini hosting tĂ« besueshĂ«m pĂ«r faqe interneti me mbrojtje nga DDoS, serverĂ« VPS VDS | ProHoster