Sette opp AIDE på CentOS 6

Etter at du har sikret serveren din med rutineoppgaver som å endre SSH-porten og sette brannmurregler - er du stort sett trygg. Det er imidlertid en sjanse for at en angriper får tilgang til serveren din. Når dette skjer, er ditt neste forsvar å lære når filer endres på serveren din. Med AIDE blir du varslet når visse filer endres på serveren din.

Denne artikkelen vil lære deg hvordan du installerer AIDE for å bedre beskytte serveren din på CentOS 6.

Trinn 1: Installere AIDE

Det er ganske enkelt å installere programvaren. Bare kjør følgende kommando som root-bruker:

yum install -y aide

Det er alt du trenger å gjøre for installasjonen.

Trinn 2: Konfigurere AIDE

Dette er den vanskeligste delen. For at AIDE skal fungere, må vi kompilere en database med mapper/filer som vi ønsker varsler om. Vi vil bruke AIDE-standardene. Å sette opp overvåking på spesifikke mapper/filer er utenfor omfanget av denne opplæringen. Se AIDE-dokumentasjonen hvis du trenger den typen konfigurasjon.

Først må vi initialisere AIDE. Kjør følgende kommando som root:

aide --init

Det vil opprette databasen for første gang. Kjør deretter disse kommandoene som root:

cd /var/lib/aide
mv aide.db.new.gz aide.db.gz

Dessverre er dette trinnet nødvendig siden AIDE ikke vil fungere uten det.

Vi må få AIDE til å inspisere filene våre for første gang også, så kjør disse kommandoene som root:

aide --check
aide --update

Gå tilbake til /var/lib/aidekatalogen, og du bør finne en ny database. Fjern den første uten den nye delen i filnavnet, ved å kjøre:

rm aide.db.gz

Flytt over den nye databasen:

mv aide.db.new.gz aide.db.gz

Siden standardkonfigurasjonen allerede passer for de fleste av filene våre, bør vi klare å bruke den. Alt som gjenstår er å få AIDE til å sende deg en e-post hvis det er noen uautoriserte endringer. For denne artikkelen bruker vi nano som tekstredigerer.

nano /etc/crontab

Finn seksjonen med MAILTO=rootog endre roottil e-postadressen din. Kjør deretter:

crontab -e

Legg dette til filen:

0 1 * * * /usr/sbin/aide --check

Dette vil få AIDE til å sjekke og sende deg en e-post én gang per dag hvis den oppdager at en fil er endret.

Konklusjon

Dette sikrer din sikkerhet i de fleste tilfeller; Du må imidlertid oppdatere databasen hver gang du endrer systemfiler, eller noe i nettkatalogen din. Hvis en angriper plasserer skadelig programvare på systemet ditt, vil AIDE varsle deg hvor det er, og du vil kunne desinfisere systemet.