Installation und Verwendung der AIDE Advanced Intrusion Detection Umgebung auf CentOS 8
AIDE steht für „Advanced Intrusion Detection Environment“ und ist eines der beliebtesten Werkzeuge zur Überwachung von Änderungen an Linux-basierten Betriebssystemen. Es wird verwendet, um Ihr System vor Malware und Viren zu schützen und unbefugte Aktivitäten zu erkennen. Es funktioniert, indem es eine Datenbank des Dateisystems erstellt und diese Datenbank mit dem System vergleicht, um die Dateiintegrität sicherzustellen und Einbrüche in das System zu erkennen. AIDE hilft Ihnen, die Untersuchungszeit während der Reaktion auf einen Vorfall zu verkürzen, indem es sich auf die geänderten Dateien konzentriert.
Merkmale
- Unterstützt verschiedene Attribute, einschließlich Dateityp, Inode, Uid, Gid, Berechtigungen, Anzahl der Links, Mtime, Ctime und Atime.
- Unterstützt Gzip-Kompression, SELinux, XAttrs, Posix ACL und erweiterte Dateisystem-Attribute.
- Sie können verschiedene Message-Digest-Verfahren erstellen und vergleichen, darunter md5, sha1, sha256, sha512, rmd160, crc32 usw.
- Sie können sich per E-Mail benachrichtigen lassen.
In diesem Tutorial werden wir Ihnen zeigen, wie Sie AIDE installieren und verwenden, um Einbrüche unter CentOS 8 zu erkennen.
Voraussetzungen
- Ein Server mit CentOS 8 mit mindestens 2 GB RAM.
- Auf Ihrem Server ist ein Root-Passwort konfiguriert.
Erste Schritte
Bevor Sie beginnen, ist es eine gute Idee, Ihr System auf die aktualisierte Version zu aktualisieren. Führen Sie den folgenden Befehl aus, um Ihr System zu aktualisieren.
dnf update -y
Sobald Ihr System aktualisiert ist, starten Sie es neu, um die Änderungen zu implementieren.
AIDE installieren
Standardmäßig ist AIDE im Standard-Repository von CentOS 8 verfügbar. Sie können es einfach installieren, indem Sie einfach den folgenden Befehl ausführen:
dnf install aide -y
Nach Abschluß der Installation können Sie die installierte Version von AIDE mit folgendem Befehl überprüfen:
aide --version
Sie sollten die folgende Ausgabe sehen:
Aide 0.16 Compiled with the following options: WITH_MMAP WITH_PCRE WITH_POSIX_ACL WITH_SELINUX WITH_XATTR WITH_E2FSATTRS WITH_LSTAT64 WITH_READDIR64 WITH_ZLIB WITH_CURL WITH_GCRYPT WITH_AUDIT CONFIG_FILE = "/etc/aide.conf"
Sie können auch alle Optionen, die mit dem AIDE-Befehl verfügbar sind, mit dem folgenden Befehl sehen:
aide --help
Sie sollten den folgenden Bildschirm sehen:
Erstellen und Initialisieren der Datenbank
Nach der Installation von AIDE müssen Sie als erstes das Setup initialisieren. Diese Initialisierung wird eine Datenbank (Snapshot) aller Dateien und Verzeichnisse Ihres Servers erstellen.
Führen Sie den folgenden Befehl aus, um die Datenbank zu initialisieren:
aide --init
Sie sollten die folgende Ausgabe sehen:
Start timestamp: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE initialized database at /var/lib/aide/aide.db.new.gz
Number of entries: 49472
---------------------------------------------------
The attributes of the (uncompressed) database(s):
---------------------------------------------------
/var/lib/aide/aide.db.new.gz
MD5 : 4N79P7hPE2uxJJ1o7na9sA==
SHA1 : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
RMD160 : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
TIGER : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
SHA256 : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
xWXT2iaEHgQ=
SHA512 : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
nDw6lgDNI/ls2esijukliQ==
End timestamp: 2020-01-16 03:03:44 -0500 (run time: 0m 25s)
Der obige Befehl erzeugt eine neue AIDE-Datenbank aide.db.new.gz im Verzeichnis /var/lib/aide. Sie können sie mit dem folgenden Befehl sehen:
ls -l /var/lib/aide
Sie sollten die folgende Ausgabe sehen:
total 2800 -rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz
AIDE wird die neue Datenbankdatei nicht benutzen, bis sie in aide.db.gz umbenannt wurde. Sie können sie mit dem folgenden Befehl umbenennen:
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
Es wird empfohlen, diese Datenbank in einem bestimmten Zeitraum zu aktualisieren, um eine angemessene Überwachung der Änderungen zu gewährleisten. Sie können auch den Speicherort der AIDE-Datenbank ändern, indem Sie die Datei /etc/aide.conf bearbeiten und den DBDIR-Wert ändern.
AIDE prüfen
Zu diesem Zeitpunkt ist AIDE bereit, die neue Datenbank zu nutzen. Führen Sie nun Ihre erste AIDE-Prüfung durch, ohne Änderungen vorzunehmen:
aide --check
Dieser Befehl wird einige Zeit in Anspruch nehmen, abhängig von der Größe Ihres Dateisystems und der Menge an RAM in Ihrem Server. Sobald die AIDE-Prüfung abgeschlossen ist, sollten Sie die folgende Ausgabe sehen:
Start timestamp: 2020-01-16 03:05:07 -0500 (AIDE 0.16) AIDE found NO differences between database and filesystem. Looks okay!!
Die obige Ausgabe zeigt an, dass jede Datei und jedes Verzeichnis mit der AIDE-Datenbank übereinstimmt.
AIDE testen
Standardmäßig ist AIDE nicht konfiguriert, um Dateien und Verzeichnisse der Apache-Vorgabedokument-Wurzel /var/www/html zu überwachen. Sie m?ssen AIDE also so konfigurieren, dass das Verzeichnis /var/www/html ?berwacht wird. Sie können es durch Bearbeiten der Datei /etc/aide.conf konfigurieren.
nano /etc/aide.conf
Fügen Sie die folgende Zeile über der Zeile „/root/ CONTENT_EX“ ein:
/var/www/html/ CONTENT_EX
Speichern und schließen Sie die Datei, wenn Sie fertig sind.
Als nächstes erstellen Sie eine Datei aide.txt im Verzeichnis /var/www/html/ mit dem folgenden Befehl:
echo "Test AIDE" > /var/www/html/aide.txt
Führen Sie nun die AIDE-Prüfung aus und überprüfen Sie, ob die neu erstellte Datei von der Hilfsprüfung erkannt wird.
aide --check
Sie sollten die folgende Ausgabe sehen:
Start timestamp: 2020-01-16 03:09:40 -0500 (AIDE 0.16) AIDE found differences between database and filesystem!! Summary: Total number of entries: 49475 Added entries: 1 Removed entries: 0 Changed entries: 0 --------------------------------------------------- Added entries: --------------------------------------------------- f++++++++++++++++: /var/www/html/aide.txt
Die obige Ausgabe zeigt an, dass die neu erstellte Datei aide.txt von der AIDE-Prüfung erkannt wird.
Als nächstes ist es eine gute Idee, die AIDE-Datenbank zu aktualisieren, nachdem Sie die von der AIDe-Prüfung entdeckten Änderungen überprüft haben. Sie können die AIDE-Datenbank mit dem folgenden Befehl aktualisieren:
aide --update
Sobald die Datenbank aktualisiert ist, sollten Sie die folgende Ausgabe sehen:
Start timestamp: 2020-01-16 03:10:41 -0500 (AIDE 0.16) AIDE found differences between database and filesystem!! New AIDE database written to /var/lib/aide/aide.db.new.gz Summary: Total number of entries: 49475 Added entries: 1 Removed entries: 0 Changed entries: 0 --------------------------------------------------- Added entries: --------------------------------------------------- f++++++++++++++++: /var/www/html/aide.txt
Der obige Befehl erzeugt eine neue Datenbank namens aide.db.new.gz im Verzeichnis /var/lib/aide/.
Sie können sie mit dem folgenden Befehl sehen:
ls -l /var/lib/aide/
Sie sollten die folgende Ausgabe sehen:
total 5600 -rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz -rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz
Benennen Sie nun die neue Datenbank erneut um, so dass AIDE diese neue Datenbank verwendet, um alle neuen Änderungen zu verfolgen. Sie können die Datenbank mit dem folgenden Befehl umbenennen:
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
Führen Sie nun die AIDE-Prüfung erneut durch, um zu prüfen, ob die AIDE die neue Datenbank verwendet oder nicht:
aide --check
Sie sollten die folgende Ausgabe sehen:
Start timestamp: 2020-01-16 03:12:29 -0500 (AIDE 0.16) AIDE found NO differences between database and filesystem. Looks okay!!
Wenn Sie fertig sind, können Sie mit dem nächsten Schritt fortfahren.
AIDE-Prüfung automatisieren
Es ist eine gute Idee, die AIDE-Prüfung täglich zu automatisieren und den Bericht per Mail an ein System zu senden. Sie können diesen Vorgang mit Hilfe des Cron-Jobs automatisieren.
Bearbeiten Sie dazu die Cron-Standardkonfigurationsdatei wie unten gezeigt:
nano /etc/crontab
Fügen Sie die folgende Zeile am Ende der Datei hinzu, um die AIDE-Prüfung an jedem Tag um 10:15 Uhr zu automatisieren:
15 10 * * * root /usr/sbin/aide --check
Speichern und schließen Sie die Datei, wenn Sie fertig sind.
Nun wird das AIDE Sie per System-Mail benachrichtigen.
Sie können Ihre System-Mail mit dem folgenden Befehl überprüfen:
tail -f /var/mail/root
Sie können das AIDE-Protokoll auch mit dem folgenden Befehl überprüfen:
tail -f /var/log/aide/aide.log
Schlussfolgerung
In der obigen Anleitung haben Sie gelernt, wie Sie AIDE verwenden können, um die Serveränderungen zu verstehen und unberechtigte Zugriffe auf Ihren Server zu identifizieren. Sie können die Datei /etc/aide.conf modifizieren, um Ihr Anwendungsverzeichnis oder erweiterte Einstellungen zu überwachen. Es wird empfohlen, Ihre AIDE-Datenbank und die Konfigurationsdatei aus Sicherheitsgründen auf einem schreibgeschützten Medium aufzubewahren. Für weitere Informationen können Sie die AIDE-Dokumentation unter AIDE Doc.