Linux安全之AIDE系統入侵檢測工具安裝和使用

一、AIDE 系統入侵檢測工具簡介

??AIDE，全稱為Advanced Intrusion Detection Environment，是一個主要用于檢測文件完整性的入侵檢測工具。它能夠構建一個指定文件的數據庫，并使用aide.conf作為其配置文件。AIDE數據庫能夠保存文件的各種屬性，包括權限、索引節點序號、所屬用戶、所屬用戶組、文件大小、最后修改時間、創建時間、最后訪問時間、增加的大小以及連接數等。此外，AIDE還支持多種算法，如sha1、md5、rmd160、tiger等，以密文形式建立每個文件的校驗碼或散列號。然而，這個數據庫不應保存經常變動的文件信息，例如：日志文件、郵件、/proc文件系統、用戶起始目錄以及臨時目錄等。當操作系統被入侵時，可以通過對比基準數據庫來獲取文檔的改變情況。這種方式能夠幫助用戶快速發現異常情況，從而及時進行應對。博文以centos7環境安裝和使用AIDE為例進行介紹，環境說明：

  • 操作系統：centos7.6
  • aide版本：0.15.1

二、AIDE安裝及使用示例

1、yum安裝aide

??aide工具

[root@s166 ~]# yum install -y aide
Running transaction
正在安裝 : aide-0.15.1-13.el7_9.1.x86_64 1/1
驗證中 : aide-0.15.1-13.el7_9.1.x86_64 1/1

已安裝:
aide.x86_64 0:0.15.1-13.el7_9.1

完畢！

2、檢查aide.conf配置文件

??AIDE作為入侵檢測工具，本質上是一個文件完整性校驗工具，可以監測和校驗配置文件指定的重要文件的完整性，通過MD5、SHA值校驗文檔是否被更新修改，如果發生變動則通過檢測后確認是管理者主動修改還是入侵者執行的改動。

[root@s166 ~]# cat /etc/aide.conf |grep -Ev “^#|^$”
@@define DBDIR /var/lib/aide
@@define LOGDIR /var/log/aide
database=file:@@{DBDIR}/aide.db.gz
database_out=file:@@{DBDIR}/aide.db.new.gz
gzip_dbout=yes
verbose=5
report_url=file:@@{LOGDIR}/aide.log
report_url=stdout
FIPSR = p+i+n+u+g+s+m+c+acl+selinux+xattrs+sha256
ALLXTRAHASHES = sha1+rmd160+sha256+sha512+tiger
EVERYTHING = R+ALLXTRAHASHES
NORMAL = sha256
DIR = p+i+n+u+g+acl+selinux+xattrs
PERMS = p+u+g+acl+selinux+xattrs
STATIC = p+u+g+acl+selinux+xattrs+i+n+b+c+ftype
LOG = p+u+g+n+acl+selinux+ftype
CONTENT = sha256+ftype
CONTENT_EX = sha256+ftype+p+u+g+n+acl+selinux+xattrs
DATAONLY = p+n+u+g+s+acl+selinux+xattrs+sha256
/boot/ CONTENT_EX
/bin/ CONTENT_EX
…
/etc/hosts$ CONTENT_EX
/etc/host.conf$ CONTENT_EX
…

3、初始化配置數據庫

??為了獲得系統入侵檢測的初始數據，我們需要先對aide數據庫進行初始化，使用i參數完成數據庫初始化，初始化生成的文件為aide.db.new.gz。使用-i或者–init初始化數據庫。

[root@s166 ~]# aide -i

AIDE, version 0.15.1
### AIDE database at /var/lib/aide/aide.db.new.gz initialized.

4、檢測配置數據庫

??使用-C或者–check參數檢查數據庫。

[root@s166 aide]# aide --check

5、檢測并更新配置數據庫

??更新數據庫實際上是先檢查然后更新，即先檢查文件變化，然后更新輸出到新的數據庫文件。

[root@s166 aide]# aide --update

6、對比配置數據庫

??比較數據庫配置文件需要在配置文件中指定database和database_new參數。比較結果跟update和check是一樣的。

[root@s166 aide]# aide --compare

三、AIDE入侵檢測使用簡介

??AIDE入侵檢測工具的本質就是配置文件中指定文件的哈希值存儲到數據庫文件中，在進行檢測的時候進行再次計算并對比。只能發現有區別，并不能告知區別明細。所以我們需要提前將待監控的文件進行備份，在發現文件有改動更新之后進行對比，以便修復還原。監控策略中包含權限、文件類型、ACL、時間屬性等，所以我們檢測的內容不僅僅是文件大小的變化，實際上也包括文件屬性的相關參數。

1、修改hosts文件測試AIDE

  • 修改/etc/hosts文件

[root@s166 ~]# echo “192.168.0.1 gw” >> /etc/hosts
[root@s166 ~]# cat /etc/hosts
127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4
::1 localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.0.166 s166
192.168.0.167 s167
192.168.0.168 s168
192.168.0.1 gw

  • 重命名數據庫初始化文件

[root@s166 aide]# mv aide.db.new.gz aide.db.gz

  • 執行aide數據庫檢查

[root@s166 aide]# aide --check
Entry /etc/hosts in databases has different attributes: b4020081d a4020081d
…
在這里插入圖片描述

2、增加一個用戶測試比較配置數據庫

  • 修改配置文件指定數據庫文件存儲路徑參數

[root@s166 aide]# cat /etc/aide.conf |grep database
…
database=file:@@{DBDIR}/aide.db.gz
database_new=file:///var/lib/aide/aide.db.new
database_out=file:///var/lib/aide/aide.db.new

  • 增加一個用戶

[root@s166 aide]# useradd test

  • 執行配置數據庫更新

[root@s166 aide]# aide --update
在這里插入圖片描述

  • 執行數據庫對比
    在這里插入圖片描述

3、監控指定配置文件

  • 編寫一個針對指定文件監控的配置文件，我可以復制aide.conf文件，刪除后面監控文件內容，加入/home/test/a.conf CONTENT_EX這一行就是我們需要監控的配置文件及監控策略。測試后可以發現如果是初始化默認aide.conf配置文件還是需要一些時間的，如果我們初始化自定義配置文件很快，因為我們只自定義監控了1個文件，而默認包含上百個文件。

[root@s166 aide]# cat aidetest.conf |grep -Ev “^$|^#”
@@define DBDIR /var/lib/aide
@@define LOGDIR /var/log/aide
database=file:@@{DBDIR}/aide.db.gz
database_out=file:@@{DBDIR}/aide.db.new.gz
database_new=file:@@{DBDIR}/aide.db.new.gz
gzip_dbout=yes
verbose=5
report_url=file:@@{LOGDIR}/aide.log
report_url=stdout
FIPSR = p+i+n+u+g+s+m+c+acl+selinux+xattrs+sha256
ALLXTRAHASHES = sha1+rmd160+sha256+sha512+tiger
EVERYTHING = R+ALLXTRAHASHES
NORMAL = sha256
DIR = p+i+n+u+g+acl+selinux+xattrs
PERMS = p+u+g+acl+selinux+xattrs
STATIC = p+u+g+acl+selinux+xattrs+i+n+b+c+ftype
LOG = p+u+g+n+acl+selinux+ftype
CONTENT = sha256+ftype
CONTENT_EX = sha256+ftype+p+u+g+n+acl+selinux+xattrs
DATAONLY = p+n+u+g+s+acl+selinux+xattrs+sha256
/home/test/a.conf CONTENT_EX

  • 創建一個空配置文件

[root@s166 test]# touch a.conf

  • 初始化配置數據庫

[root@s166 aide]# aide -c aidetest.conf -i
[root@s166 aide]# mv aide.db.new.gz aide.db.gz

  • 更新a.conf文件

[root@s166 test]# echo “This is a change” >> a.conf

  • 檢查配置文件是否改動

[root@s166 aide]# aide -c aidetest.conf -C
在這里插入圖片描述

  • 修改問權限

[root@s166 test]# chmod -x a.conf

  • 檢查配置數據庫

[root@s166 aide]# aide -c aidetest.conf -C
在這里插入圖片描述

  • 將檢查結果寫入文件

[root@s166 aide]# aide -c aidetest.conf -C -r file:/tmp/report
#我們可以將檢查結果寫入文件，這樣我們就可以結合定時任務，定期執行檢查，通過郵件見結果報告發送到管理者郵箱實現指定配置文件的監控。如果檢查結果提示“### All files match AIDE database. Looks okay!”則表示配置文件沒有改動，如果包含其他哈希內容則表示文檔有改動。

四、常用文件及策略參數說明

1、常用文件說明

  • /etc/aide.conf 服務默認配置文件
  • /var/lib/aide.db.gz 默認aide數據庫
  • /var/lib/aide.db.new.gz 默認aide輸出數據庫

2、策略參數說明

??配置文件中DIR = p+i+n+u+g+acl+selinux+xattrs類似這樣的參數配置均為定義的檢查策略，配置中默認定義了目錄、靜態文件、日志等文件類型的檢測策略，各參數說明如下，我們參照選擇即可。

策略參數參數說明
p啟用文件屬性檢查，包括權限、所有者和組。
u啟用用戶ID和組ID檢查。
g啟用組ID檢查。
acl啟用訪問控制列表（ACL）檢查。
selinux啟用SELinux上下文檢查。
xattrs啟用擴展屬性檢查。
i啟用索引節點檢查。
n啟用設備號和節點號檢查。
b啟用塊大小檢查。
c啟用字符集檢查。
ftype啟用文件類型檢查。
s啟用大小檢查，包括文件大小和目錄大小。
m啟用修改時間檢查，包括文件修改時間和目錄修改時間。

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/news/166049.shtml
繁體地址，請注明出處：http://hk.pswp.cn/news/166049.shtml
英文地址，請注明出處：http://en.pswp.cn/news/166049.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

Django（十、中間件）

Django（十、中間件）

文章目錄 一、中間件的介紹中間件有什么用中間件功能自定義中間中間件的順序 一、中間件的介紹 中間件顧名思義，是介于request與response處理之間的一道處理過程，相對比較輕量級，并且在全局上改變django的輸入與輸出。因為改變的是全局&…
閱讀更多...
U盤啟動制作工具Rufus

U盤啟動制作工具Rufus

U盤啟動制作工具Rufus 下載U盤啟動制作工具Rufus，進入Rufus官網：http://rufus.ie/en/，打開之后往后滑動，找到download即可點擊下載。 需要插入U盤 首先需要插入U盤，如果U盤有重要文件一定要備份，然后右鍵…
閱讀更多...
mysql安裝親測有效

mysql安裝親測有效

http://t.csdnimg.cn/UHuy4
閱讀更多...
Grails 啟動

Grails 啟動

Grails系列 Grails項目啟動 文章目錄 Grails系列Grails一、項目創建二、可能的問題1.依賴下載2.項目導入到idea失敗3.項目導入到idea后運行報錯 Grails Grails是一款基于Groovy語言的Web應用程序框架，它使用了許多流行的開源技術，如Spring Framework、…
閱讀更多...
Go語言初始化已有環境，跟蹤已有依賴環境

Go語言初始化已有環境，跟蹤已有依賴環境

在Go語言中，go.mod文件是Go模塊的管理文件，用于跟蹤和管理項目的依賴關系。go.sum 文件是 Go 語言模塊的另一個關鍵文件，它記錄了項目依賴的確切版本以及相應的哈希值。如果你得到了一個包含go.mod和go.sum文件的Go代碼，&#xff…
閱讀更多...
內衣洗衣機怎么選？性價比高的小型洗衣機推薦

內衣洗衣機怎么選？性價比高的小型洗衣機推薦

在機器解放了雙手的時代中，洗衣機走進了千家萬戶，雖然在某種程度上緩解了人們手洗衣服的壓力，但還是有不少人選擇了人工手洗自己的內衣內褲，甚至連襪子都是手工洗的，這讓人很是郁悶，倒不是說洗衣機不方便&a…
閱讀更多...
SpringBoot整合SpringSecurity+jwt+knife4生成api接口（從零開始簡單易懂）

SpringBoot整合SpringSecurity+jwt+knife4生成api接口（從零開始簡單易懂）

一、準備工作 ①&#xff1a;創建一個新項目 1.事先創建好一些包 ②&#xff1a;引入依賴 <dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId></dependency><dependency>&…
閱讀更多...
可以遠程控制電腦桌面的軟件有哪些？

可以遠程控制電腦桌面的軟件有哪些？

隨著電腦辦公的普及&#xff0c;人們對于遠程控制電腦的需求也越來越大。遠程控制電腦技術能夠讓用戶在不同地點的電腦之間進行操作和訪問&#xff0c;能夠提高工作效率。可以遠程控制電腦桌面的軟件有哪些&#xff1f; 1. 遠程監控電腦軟件 需要安裝在被控制端電腦&#xff…
閱讀更多...
【cppcheck 靜態代碼分析工具使用教程】

【cppcheck 靜態代碼分析工具使用教程】

cppcheck 是一個流行的靜態代碼分析工具，用于 C 和 C++ 程序。它可以幫助檢測代碼中的錯誤、未定義的行為、內存泄漏等。在 Ubuntu 系統上使用 cppcheck 的基本步驟和示例如下： 安裝 cppcheck 打開終端。使用以下命令安裝 cppcheck：sudo apt-get update sudo apt-get insta…
閱讀更多...
linux -系統通用命令查詢

linux -系統通用命令查詢

有時候內網環境下&#xff0c;系統有些命令沒有安裝因此掌握一些通用的linux 命令也可以幫助我們解決一些問題查看 1.查看系統內核版本 uname -r2.查看系統版本 cat /etc/os-release3. 查看cpu 配置 lscpu4.查看內存信息 free [參數] 中各個數值的解釋如下表 數值解釋t…
閱讀更多...
4.并發中的各種鎖概念

4.并發中的各種鎖概念

目錄 概述鎖分類按上鎖方式劃分按特性劃分悲觀鎖/樂觀鎖重入鎖/不可重入鎖公平鎖/非公平鎖獨享鎖/共享鎖 其它自旋鎖分段鎖無鎖/偏向鎖/輕量級鎖/重量級鎖 結束 概述 java 鎖分類&#xff0c;雖是概念&#xff0c;很常見。 鎖分類 按上鎖方式劃分 鎖關鍵字解釋隱式鎖synchr…
閱讀更多...
提高工作效率的寶藏網站和寶藏工具（高級版）

提高工作效率的寶藏網站和寶藏工具（高級版）

一、參考資料 親測&#xff1a;你這些網站都不知道&#xff0c;哪來時間去摸魚&#xff1f; 提高工作效率的寶藏網站和寶藏工具&#xff08;基礎版&#xff09; 二、好用的網站 HelloGitHub - 開源項目平臺 HelloGitHub 是一個分享有趣、 入門級開源項目的平臺。 希望大家能…
閱讀更多...
MySQL-02-InnoDB存儲引擎

MySQL-02-InnoDB存儲引擎

實際的業務系統開發中&#xff0c;使用MySQL數據庫&#xff0c;我們使用最多的當然是支持事務并發的InnoDB存儲引擎的這種表結構&#xff0c;下面我們介紹下InnoDB存儲引擎相關的知識點。 1-Innodb體系架構 InnoDB存儲引擎有多個內存塊&#xff0c;可以認為這些內存塊組成了一…
閱讀更多...
qgis添加arcgis的mapserver

qgis添加arcgis的mapserver

左側瀏覽器-ArcGIS地圖服務器-右鍵-新建連接 Folder: / 展開-雙擊圖層即可
閱讀更多...
oracle 表樹形結構查詢遞歸查詢

oracle 表樹形結構查詢遞歸查詢

簡介&#xff1a; WITH RECURSIVE 是一種在關系型數據庫中處理遞歸查詢的語法。 舉例&#xff1a; 假設我們有一個樹形結構數據表 tree_table&#xff0c; 包含節點的 ID、父節點的 ID 和節點名稱等字段。 示例表數據&#xff1a; --------------- | id | pid | name | ----…
閱讀更多...
物聯網AI MicroPython學習之語法 I2S音頻總線接口

物聯網AI MicroPython學習之語法 I2S音頻總線接口

學物聯網&#xff0c;來萬物簡單IoT物聯網&#xff01;&#xff01; I2S 介紹 模塊功能: I2S音頻總線驅動模塊 接口說明 I2S - 構建I2S對象 函數原型&#xff1a;I2S(id, sck, ws, sd, mode, bits, format, rate, ibuf)參數說明&#xff1a; 參數類型必選參數&#xff1f…
閱讀更多...
關于接口測試自動化的總結與思考！

關于接口測試自動化的總結與思考！

序 近期看到阿里云性能測試 PTS 接口測試開啟免費公測&#xff0c;本著以和大家交流如何實現高效的接口測試為出發點&#xff0c;本文包含了我在接口測試領域的一些方法和心得&#xff0c;希望大家一起討論和分享&#xff0c;內容包括但不僅限于&#xff1a; 服務端接口測試介…
閱讀更多...
Vatee萬騰的科技冒險：vatee創新力量的前沿發現

Vatee萬騰的科技冒險：vatee創新力量的前沿發現

在當今飛速發展的科技潮流中&#xff0c;Vatee萬騰以其獨特的創新力量成為前沿的引領者。這場科技冒險不僅僅是技術的迭代&#xff0c;更是一次前所未有的前沿發現之旅&#xff0c;讓我們一同深入探索Vatee萬騰的科技冒險&#xff0c;感受vatee創新力量的前沿奇跡。 Vatee萬騰將…
閱讀更多...
【Thumbnailator】圖片壓縮、水印、格式修改一網打盡

【Thumbnailator】圖片壓縮、水印、格式修改一網打盡

前言&#xff1a; 對于javaweb服務端開發人員&#xff0c;圖片資源的管理總是繞不開的一環。很多網站上都會提供上傳圖片這個功能&#xff0c;而現代數碼設備拍攝出來的都是高清圖片&#xff0c;分辨率很高&#xff0c;占用的空間也很大。物理存儲的問題還算容易解決&#xff0…
閱讀更多...
機器學習---最大似然估計和貝葉斯參數估計

機器學習---最大似然估計和貝葉斯參數估計

1. 估計 貝葉斯框架下的數據收集&#xff0c;在以下條件下我們可以設計一個可選擇的分類器 : P(wi) (先驗)&#xff1b;P(x | wi) (類條件密度) 但是。我們很少能夠完整的得到這些信息! 從一個傳統的樣本中設計一個分類器&#xff1a; ①先驗估計不成問題 ②對類條件密度…
閱讀更多...
最新文章

Copyright @ 2022~2023