🥇 Hur man installerar och använder AIDE (Advanced Intrusion Detection Environment) i CentOS 8

Inför kursstarten «Linuxadministratör» har vi förberett en översättning av intressant material.

AIDE står för "Advanced Intrusion Detection Environment" (avancerad system för intrångsdetektering) — detta är ett av de mest populära systemen för att övervaka förändringar i operativsystem baserade på Linux. AIDE används för att skydda mot skadlig programvara, virus och upptäckta obehöriga aktiviteter. För att kontrollera filers integritet och upptäckta intrång skapar AIDE en databas med information om filer och jämför systemets aktuella tillstånd med denna databas. AIDE hjälper till att förkorta tiden för incidentutredningar genom att fokusera på filer som har ändrats.

AIDE:s möjligheter:

Stöd för olika filattribut, inklusive: filtyp, inode, uid, gid, behörigheter, antal länkar, mtime, ctime och atime.
Stöd för Gzip-kompression, SELinux, XAttrs, Posix ACL och filsystemattribut.
Stöd för olika algoritmer, inklusive md5, sha1, sha256, sha512, rmd160, crc32 osv.
Skicka e-postaviseringar.

I denna artikel kommer vi att titta på hur man installerar och använder AIDE för att upptäcka intrång i CentOS 8.

Förkrav

En server som kör CentOS 8, med minst 2 GB RAM.
root-åtkomst

Vi börjar

Det rekommenderas först att uppdatera systemet. För detta kör du följande kommando.

dnf update -y

Efter uppdateringen, starta om systemet så att ändringarna träder i kraft.

Installera AIDE

AIDE finns i standardförrådet för CentOS 8. Du kan enkelt installera det genom att köra följande kommando:

dnf install aide -y

Efter att installationen är klar kan du kontrollera versionen av AIDE med följande kommando:

aide --version

Du bör se följande:

Aide 0.16

Kompilerad med följande alternativ:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

Tillgängliga alternativ aide kan visas på följande sätt:

aide --help

Skapa och initiera databasen

Det första du behöver göra efter att ha installerat AIDE är att initiera det. Initiering innebär att skapa en databas (snapshot) av alla filer och kataloger på servern.

För att initiera databasen kör du följande kommando:

aide --init

Du bör se följande:

Starttidpunkt: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE har initierat databasen vid /var/lib/aide/aide.db.new.gz

Antal poster:	49472

---------------------------------------------------
Attributen för den (okomprimerade) databasen:
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


Sluttidpunkt: 2020-01-16 03:03:44 -0500 (körtid: 0m 25s)

Ovanstående kommando skapar en ny databas aide.db.new.gz i katalogen /var/lib/aideDu kan se den med följande kommando:

ls -l /var/lib/aide

Resultatet:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE kommer inte att använda denna nya databasfil förrän den har döpts om till aide.db.gz. Det kan göras så här:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Det rekommenderas att uppdatera denna databas med jämna mellanrum för att säkerställa nödvändig övervakning av ändringar.

Databasens plats kan ändras genom att ändra parametern DBDIR i filen /etc/aide.conf.

Starta kontrollen

Nu är AIDE redo att använda den nya databasen. Kör den första AIDE-kontrollen utan att göra några ändringar:

aide --check

Att köra detta kommando kan ta lite tid beroende på storleken på ditt filsystem och hur mycket RAM som finns på din server. När kontrollen är klar bör du se följande:

Starttidpunkt: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE hittade INGA skillnader mellan databas och filsystem. Ser bra ut!!

Den angivna utdata säger att alla filer och kataloger överensstämmer med AIDE-databasen.

Testar AIDE

Som standard övervakar AIDE inte den standardroot-katalogen för Apache /var/www/html. Låt oss konfigurera AIDE för att övervaka den. För detta behöver vi ändra filen /etc/aide.conf.

nano /etc/aide.conf

Lägg till ovanför raden "/root/CONTENT_EX" följande:

/var/www/html/ CONTENT_EX

Skapa sedan en fil aide.txt i katalogen /var/www/html/, med följande kommando:

echo "Test AIDE" > /var/www/html/aide.txt

Kör nu en AIDE-kontroll och se till att den skapade filen upptäcks.

aide --check

Du bör se följande:

Starttidpunkt: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE hittade skillnader mellan databas och filsystem!!

Sammanfattning:
  Totalt antal poster:	49475
  Tillagda poster:		1
  Borttagna poster:		0
  Ändrade poster:		0

---------------------------------------------------
Tillagda poster:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Vi ser att den skapade filen har upptäckts aide.txt.
Efter att ha analyserat de upptäckta ändringarna, uppdatera AIDE-databasen.

aide --update

Efter uppdatering ser du följande:

Starttidstämpel: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE har funnit skillnader mellan databasen och filsystemet!!
Ny AIDE-databas har skrivits till /var/lib/aide/aide.db.new.gz

Sammanfattning:
  Totalt antal poster:	49475
  Tillagda poster:		1
  Borttagna poster:		0
  Ändrade poster:		0

---------------------------------------------------
Tillagda poster:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

Ovanstående kommando skapar en ny databas aide.db.new.gz i katalogen

/var/lib/aide/

Du kan se den med följande kommando:

ls -l /var/lib/aide/

Resultatet:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

Döp om den nya databasen igen så att AIDE använder den nya databasen för att spåra ytterligare förändringar. Du kan döpa om den på följande sätt:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Kör kontrollen en gång till för att säkerställa att AIDE använder den nya databasen:

aide --check

Du bör se följande:

Starttidstämpel: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE har INGA skillnader mellan databasen och filsystemet. Ser bra ut!!

Automatisera kontrollen

Det är en bra idé att köra AIDE-kontrollen varje dag och skicka rapporten via e-post. Denna process kan automatiseras med hjälp av cron.

nano /etc/crontab

För att köra AIDE-kontrollen varje dag klockan 10:15, lägg till följande rad i slutet av filen:

15 10 * * * root /usr/sbin/aide --check

Nu kommer AIDE att meddela dig via e-post. Du kan kontrollera din e-post med följande kommando:

tail -f /var/mail/root

AIDE-loggen kan ses med följande kommando:

tail -f /var/log/aide/aide.log

Slutsats

I denna artikel har du lärt dig hur man använder AIDE för att upptäcka filändringar och identifiera obehörig åtkomst till servern. För ytterligare inställningar kan du ändra konfigurationsfilen /etc/aide.conf. För säkerhet rekommenderas det att lagra databasen och konfigurationsfilen på en enhet som endast är skrivskyddad. Mer information finns i dokumentationen. AIDE Doc.

Läs mer om kursen.

Källa: habr.com