搜索

[23297] 2014-11-18_在CentOS上配置基于主机的入侵检测系统（IDS）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2014-11-18_在CentOS上配置基于主机的入侵检测系统（IDS） 在 C e n t O S 上 配 置 基 于 主 机 的 入 侵 检 测 系 统 （ I D S ） L i n u x 中 国   2 0 1 4 - 1 1 - 1 8 所 有 系 统 管 理 员 想 要 在 他 们 生 产 服 务 器 上 首 先 要 部 署 的 安 全 手 段 之 一 ， 就 是 检 测 文 件 篡 改 的 机 制 — — 不 仅 仅 是 文 件 内 容 ， 而 且 也 包 括 它 们 的 属 性 。 A I D E   （ “ 高 级 入 侵 检 测 环 境 ” 的 简 称 ） 是 一 个 开 源 的 基 于 主 机 的 入 侵 检 测 系 统 。 A I D E 通 过 检 查 大 量 文 件 属 性 的 不 一 致 性 来 检 查 系 统 二 进 制 文 件 和 基 本 配 置 文 件 的 完 整 性 ， 这 些 文 件 属 性 包 括 权 限 、 文 件 类 型 、 索 引 节 点 、 链 接 数 、 链 接 名 、 用 户 、 组 、 文 件 大 小 、 块 计 数 、 修 改 时 间 、 添 加 时 间 、 创 建 时 间 、 a c l 、 S E L i n u x 安 全 上 下 文 、 x a t t r s ， 以 及 m d 5 / s h a 校 验 值 在 内 的 各 种 特 征 。 A I D E 通 过 扫 描 一 台 （ 未 被 篡 改 ） 的 L i n u x 服 务 器 的 文 件 系 统 来 构 建 文 件 属 性 数 据 库 ， 以 后 将 服 务 器 文 件 属 性 与 数 据 库 中 的 进 行 校 对 ， 然 后 在 服 务 器 运 行 时 对 被 修 改 的 索 引 了 的 文 件 发 出 警 告 。 出 于 这 个 原 因 ， A I D E 必 须 在 系 统 更 新 后 或 其 配 置 文 件 进 行 合 法 修 改 后 重 新 对 受 保 护 的 文 件 做 索 引 。 对 于 某 些 客 户 ， 他 们 可 能 会 根 据 他 们 的 安 全 策 略 在 他 们 的 服 务 器 上 强 制 安 装 某 种 入 侵 检 测 系 统 。 但 是 ， 不 管 客 户 是 否 要 求 ， 系 统 管 理 员 都 应 该 部 署 一 个 入 侵 检 测 系 统 ， 这 通 常 是 一 个 很 好 的 做 法 。 在   C e n t O S 或 R H E L   上 安 装 A I D E A I D E 的 初 始 安 装 （ 同 时 是 首 次 运 行 ） 最 好 是 在 系 统 刚 安 装 完 后 ， 并 且 没 有 任 何 服 务 暴 露 在 互 联 网 甚 至 局 域 网 时 。 在 这 个 早 期 阶 段 ， 我 们 可 以 将 来 自 外 部 的 一 切 闯 入 和 破 坏 风 险 降 到 最 低 限 度 。 事 实 上 ， 这 也 是 确 保 系 统 在 A I D E 构 建 其 初 始 数 据 库 时 保 持 干 净 的 唯 一 途 径 。 （ L C T T   译
注 ： 当 然 ， 如 果 你 的 安 装 源 本 身 就 存 在 安 全 隐 患 ， 则 无 法 建 立 可 信 的 数 据 记 录 ） 出 于 上 面 的 原 因 ， 在 安 装 完 系 统 后 ， 我 们 可 以 执 行 下 面 的 命 令 安 装 A I D E ：   #   y u m   i n s t a l l   a i d e 我 们 需 要 将 我 们 的 机 器 从 网 络 断 开 ， 并 实 施 下 面 所 述 的 一 些 基 本 配 置 任 务 。 配 置 A I D E 默 认 配 置 文 件 是 / e t c / a i d e . c o n f ， 该 文 件 介 绍 了 几 个 示 例 保 护 规 则 （ 如 F I P S R ， N O R M A L ， D I R ， D A T A O N L Y ） ， 各 个 规 则 后 面 跟 着 一 个 等 号 以 及 要 检 查 的 文 件 属 性 列 表 ， 或 者 某 些 预 定 义 的 规 则 （ 由 + 分 隔 ） 。 你 也 可 以 使 用 此 种 格 式 自 定 义 规 则 。 F I P S R   =   p + i + n + u + g + s + m + c + a c l + s e l i n u x + x a t t r s + s h a 2 5 6 N O R M A L   =   F I P S R + s h a 5 1 2 例 如 ， 上 面 的 例 子 说 明 ， N O R M A L 规 则 将 检 查 下 列 属 性 的 不 一 致 性 ： 权 限 （ p ） 、 索 引 节 点 （ i ） 、 链 接 数 （ n ） 、 用 户 （ u ） 、 组 （ g ） 、 大 小 （ s ） 、 修 改 时 间 （ m ） 、 创 建 时 间 （ c ） 、 A C L （ a c l ） 、 S E L i n u x （ s e l i n u x ） 、 x a t t r s （ x a t t r ） 、 S H A 2 5 6 / S H A 5 1 2 校 验 和 （ s h a 2 5 6 和 s h a 5 1 2 ） 。 定 义 的 规 则 可 灵 活 地 用 于 不 同 的 目 录 和 文 件 （ 用 正 则 表 达 式 表 示 ） 。 条 目 之 前 的 感 叹 号 （ ！ ） 告 诉 A I D E 忽 略 子 目 录 （ 或 目 录 中 的 文 件 ） ， 对 于 这 些 可 以 另 外 定 义 规 则 。 在 上 面 的 例 子 中 ， P E R M S 是 用 于 / e t c 机 器 子 目 录 和 文 件 的 默 认 规 则 。 然 而 ， 对 于 / e t c 中 的 备 份 文 件 （ 如 / e t c / . * ~ ） 则 不 应 用 任 何 规 则 ， 也 没 有 规 则 用 于 / e t c / m t a b 文 件 。 对 于 / e t c 中 的 其 它 一 些 选 定 的 子 目 录 或 文 件 ， 使 用 N O R M A L 规 则 替 代 默 认 规 则 P E R M S 。 定 义 并 应 用 正 确 的 规 则 到 系 统 中 正 确 的 位 置 ， 是 使 用 A I D E 最 难 的 一 部 分 ， 但 作 一 个 好 的 判 断 是 一 个 良 好 的 开 始 。 作 为 首 要 的 一 条 规 则 ， 不
要 检 查 不 必 要 的 属 性 。 例 如 ， 检 查 / v a r / l o g 或 / v a r / s p o o l 里 头 的 文 件 的 修 改 时 间 将 导 致 大 量 误 报 ， 因 为 许 多 的 应 用 程 序 和 守 护 进 程 经 常 会 写 入 内 容 到 该 位 置 ， 而 这 些 内 容 都 没 有 问 题 。 此 外 ， 检 查 多 个 校 验 值 可 能 会 加 强 安 全 性 ， 但 随 之 而 来 的 是 A I D E 的 运 行 时 间 的 增 加 。 可 选 的 ， 如 果 你 使 用 M A I L T O 变 量 指 定 电 子 邮 件 地 址 ， 就 可 以 将 检 查 结 果 发 送 到 你 的 邮 箱 。 将 下 面 这 一 行 放 到 / e t c / a i d e . c o n f 中 的 任 何 位 置 即 可 。 M A I L T O = r o o t @ l o c a l h o s t 首 次 运 行 A I D E 运 行 以 下 命 令 来 初 始 化 A I D E 数 据 库 ：   #   a i d e   - - i n i t 根 据 / e t c / a i d e . c o n f 生 成 的 / v a r / l i b / a i d e / a i d e . d b . n e w . g z 文 件 需 要 被 重 命 名 为 / v a r / l i b / a i d e / a i d e . d b . g z ， 以 便 A I D E 能 读 取 它 ：   #   m v   / v a r / l i b / a i d e / a i d e . d b . n e w . g z   / v a r / l i b / a i d e . d b . g z 现 在 ， 是 时 候 来 将 我 们 的 系 统 与 数 据 库 进 行 第 一 次 校 对 了 。 任 务 很 简 单 ， 只 需 运 行 ：   #   a i d e 在 没 有 选 项 时 ， A I D E 假 定 使 用 了 - - c h e c k 选 项 。 如 果 在 数 据 库 创 建 后 没 有 对 系 统 做 过 任 何 修 改 ， A I D E 将 会 以 O K 信 息 来 结 束 本 次 校 对 。 生 产 环 境 中 管 理 A I D E 在 构 建 了 一 个 初 始 A I D E 数 据 库 后 ， 作 为 不 断 进 行 的 系 统 管 理 活 动 ， 你 常 常 需 要 因 为 某 些 合 法 的 理 由 更 新 受 保 护 的 服 务 器 。 每 次 服 务 器 更 新 后 ， 你 必 须 重 新 构 建 A I D E 数 据 库 ， 以 更 新 数 据 库 内 容 。 要 完 成 该 任 务 ， 请 执 行 以 下 命 令 ：   #   a i d e   - - u p d a t e 要 使 用 A I D E 保 护 生 产 系 统 ， 可 能 最 好 通 过 任 务 计 划 调 用 A I D E 来 周 期 性 检 查 不 一 致 性 。 例 如 ， 要 让 A I D E 每 天 运 行 一 次 ， 并 将 结 果 发 送 到 邮 箱 ：   #   c r o n t a b   - e
0   0   *   *   *   / u s r / s b i n / a i d e   - - c h e c k   |   / u s r / b i n / m a i l   - s   " A I D E   r u n   f o r   $ H O S T N A M E "   y o u r @ e m a i l . c o m 测 试 A I D E 检 查 文 件 篡 改 下 面 的 测 试 环 境 将 演 示 A I D E 是 如 何 来 检 查 文 件 的 完 整 性 的 。 测 试 环 境   1 让 我 们 添 加 一 个 新 文 件 （ 如 / e t c / f a k e ） 。 #   c a t   / d e v / n u l l   >   / e t c / f a k e 测 试 环 境   2 让 我 们 修 改 文 件 权 限 ， 然 后 看 看 它 是 否 被 检 测 到 。   #   c h m o d   6 4 4   / e t c / a i d e . c o n f 测 试 环 境   3 最 后 ， 让 我 们 修 改 文 件 内 容 （ 如 ， 添 加 一 个 注 释 行 到 / e t c / a i d e . c o n f ） 。 e c h o   " # T h i s   i s   a   c o m m e n t "   > >   / e t c / a i d e . c o n f
上 面 的 截 图 中 ， 第 一 栏 显 示 了 文 件 的 属 性 ， 第 二 栏 是 A I D E 数 据 库 中 的 值 ， 而 第 三 栏 是 更 新 后 的 值 。 第 三 栏 中 空 白 部 分 表 示 该 属 性 没 有 改 动 （ 如 本 例 中 的 A C L ） 。 结 尾 如 果 你 曾 经 发 现 你 自 己 有 很 好 的 理 由 确 信 系 统 被 入 侵 了 ， 但 是 第 一 眼 又 不 能 确 定 到 底 哪 些 东 西 被 改 动 了 ， 那 么 像 A I D E 这 样 一 个 基 于 主 机 的 入 侵 检 测 系 统 就 会 很 有 帮 助 了 ， 因 为 它 可 以 帮 助 你 很 快 识 别 出 哪 些 东 西 被 改 动 过 ， 而 不 是 通 过 猜 测 来 浪 费 宝 贵 的 时 间 。 v i a :   h t t p : / / x m o d u l o . c o m / h o s t - i n t r u s i o n - d e t e c t i o n - s y s t e m - c e n t o s . h t m l 作 者 ： G a b r i e l   C á n e p a   译 者 ： G O L i n u x   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理