md5与aide文件完整性检测（含红帽系列和Ubuntu系列的使用方法）

最新推荐文章于 2024-11-24 13:00:16 发布

云计算运维丁丁

最新推荐文章于 2024-11-24 13:00:16 发布

阅读量511

点赞数 5

分类专栏： Linux基础文章标签： ubuntu linux 运维服务器 kylin centos

本文链接：https://blog.youkuaiyun.com/dingzy1/article/details/143606735

版权

Linux基础专栏收录该内容

15 篇文章

订阅专栏

md5与aide 文件完整性的检测

md5 可用于校验文件是否发生了变化。

常用选项

--check			#从指定文件中读取MD5校验和，并进行校验
-c				#同--check

使用方法

#查看网卡配置文件的md5值：
[root@Dezyan ~]# md5sum ifcfg-ens33
e928aa4718a4335366810a7961396938  ifcfg-ens33

#检查ifcfg-ens33文件是否被修改过
1.将md5值输出到a.txt中
[root@Dezyan ~]# md5sum insert.sql >> a.txt
2.检查
##1：未被修改
[root@Dezyan ~]# [root@Dezyan ~]# md5sum --check a.txt 
ifcfg-ens33: 成功
##2：被修改过
[root@Dezyan ~]# md5sum --check a.txt 
ifcfg-ens33: 成功
md5sum: 警告：1 行的格式不适当

aide 文件完整性的检测（红帽系列和Ubuntu系列的使用方法）

AIDE的概念

AIDE：Advanced Intrusion Detection Environment，是一款入侵检测工具，主要用途是检查文档的完整性。AIDE在本地构造了一个基准的数据库，一旦操作系统被入侵，可以通过对比基准数据库而获取文件变更记录，使用aide.conf作为其配置文档。AIDE数据库能够保存文档的各种属性，包括：权限(permission)、索引节点序号(inode number)、所属用户(user)、所属用户组(group)、文档大小、最后修改时间(mtime)、创建时间(ctime)、最后访问时间(atime)、增加的大小连同连接数。AIDE还能够使用下列算法：sha1、md5、rmd160、tiger，以密文形式建立每个文档的校验码或散列号。

kylin(CentOS)使用方法

#1.安装
yum install  -y aide
#2.修改配置文件
修改/etc/aide.conf 
##修改第10行内容为：
 10 database_out=file:@@{DBDIR}/aide.db.gz
（原始内容： database_out=file:@@{DBDIR}/aide.db.new.gz）
##由于默认是对整个磁盘进行检查，太过消耗时间，我们这边可以指定检查目录
##修改方法：
文件第47行即：# Next decide what directories/files you want in the database.
将此行以后的所有内容删除！
添加我们想要监控的目录
保存退出即可
#3.aide --init根据目录创建指纹信息（即初始化）
aide --init
#4.进行检查
aide --check

示例

#监控/data/dir目录下的文件变动
#原本目录下的所有文件
[root@Dezyan /]# ls /data/dir/
test002.txt
1.在/etc/aide.conf 中添加监控目录（47行后）
/data/dir/ FIPSR
2.进行初始化
aide --init
3.修改监控目录中的文件
[root@Dezyan /]# echo 'abc' >> /data/dir/test002.txt 
[root@Dezyan /]# touch /data/dir/test004.txt
[root@Dezyan /]# touch /data/dir/testAAA
4.进行检查
[root@Dezyan /]# aide --check
WARNING:Input and output database urls are the same.
Start timestamp: 2024-11-07 19:38:48 +0800 (AIDE 0.16.2)
AIDE found differences between database and filesystem!!

Summary:
  Total number of entries:	3
  Added entries:		2
  Removed entries:		0
  Changed entries:		1

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /data/dir/test004.txt
f++++++++++++++++: /data/dir/testAAA

---------------------------------------------------
Changed entries:
---------------------------------------------------

f > ... mc..C..  : /data/dir/test002.txt

---------------------------------------------------
Detailed information about changes:
---------------------------------------------------

File: /data/dir/test002.txt
  Size     : 0                                | 4
  Mtime    : 2024-11-07 19:20:33 +0800        | 2024-11-07 19:37:59 +0800
  Ctime    : 2024-11-07 19:20:33 +0800        | 2024-11-07 19:37:59 +0800
  SHA256   : 47DEQpj8HBSa+/TImW+5JCeuQeRkm5NM | 7eqv8/F3StKIhnN3DG1kCX45G8Ni19b7
             pJWZG3hSuFU=                     | NJgt3w79GMs=


---------------------------------------------------
The attributes of the (uncompressed) database(s):
---------------------------------------------------

/var/lib/aide/aide.db.gz
  MD5      : AserhJjinAIUlaYkzgZL2w==
  SHA1     : Az8rXyfuXeMrCPVt/gxdUzBLlr8=
  RMD160   : 8De5Q9h4T8wTv0Sg8KdoHOIphz0=
  TIGER    : avLGCRxX4KzyGzlM27L1u5l3JvrJ6DNK
  SHA256   : PZ/OCPEqAOZitR2tpwyH7E1eR/1tnQAO
             0LYaWRD0XSw=
  SHA512   : al0acDZQGhUTCLKqDfjWhx0KEckxr8CQ
             fLn96sjtX53rQkTXxF3CsO0tdA03627y
             n7C5NaybtW+LuypGNLm1yQ==
  SM3      : qc4Vup00h4guGoDY7OHeeJk9AXVDQ/jz
             9RLyIsJ1vLA=


End timestamp: 2024-11-07 19:38:48 +0800 (run time: 0m 0s)

##检查结果显示：该目录下的文件发生了变动，具体为新创建了两个文件，且test002.txt被写入了新内容

Ubuntu使用方法

#1.安装
root@Dezyan01:~# apt -y install aide
#2.修改配置文件
root@Dezyan01:~# vim /etc/aide/aide.conf 
##修改第8.9行内容为：
  8 database_out=file:/var/lib/aide/aide.db
  9 database_new=file:/var/lib/aide/aide.db
（原始内容：8 database_out=file:/var/lib/aide/aide.db.new
  		  9 database_new=file:/var/lib/aide/aide.db,new）
##对192和193行添加注释
192 #@@x_include_setenv PATH /bin:/usr/bin
193 #@@x_include /etc/aide/aide.conf.d ^[a-zA-Z0-9_-]+$
##文件底部添加检验信息
FIPSR = p+i+n+u+g+s+m+c+acl+selinux+xattrs+sha256
##添加我们想要监控的目录（记得创建该目录或指定其他目录）
/data/dir/ FIPSR
##保存退出即可
#3.aide --init根据目录创建指纹信息（即初始化）
##在此之前上述目录内容为空
aide --init --config /etc/aide/aide.conf
#4.进行检查
##改动目录内容，我这边选择在目录中添加一个文件mkdir /data/dir/222.txt使目录发生改变
##进行检查并验证
root@Dezyan01:~# aide --check --config /etc/aide/aide.conf
Start timestamp: 2024-11-07 19:53:43 +0800 (AIDE 0.17.4)
AIDE found differences between database and filesystem!!
Ignored e2fs attributes: EIh

Summary:
  Total number of entries:	2
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f+++++++++++++++++: /data/dir/222.txt

---------------------------------------------------
The attributes of the (uncompressed) database(s):
---------------------------------------------------

/var/lib/aide/aide.db
 SHA256    : IKZXVfnToUJS37wVTNeA6mcChIBKdm46
             c9UyhQaVTeY=
 SHA512    : 5W97OH+k2SoaLX1k7tjGkwDzt4SQQhzp
             OVCB0NsIPsu3tznvyTid7MmzsZicjsbA
             6napS2xoOigWD5WCTqQNSw==
 RMD160    : G0TWA20n46cs4oFDVWgwLkmy2tE=
 TIGER     : 7ayV0lbsotp+16KWyq/g12zAKJAklTia
 CRC32     : wzc1nw==
 HAVAL     : zRbxr8AzRV/vnUq/nkUzWsoL//X6rwen
             IX+QSjI2LpM=
 WHIRLPOOL : VS820chcOTWosq9EZkiPOsAO/GKaN4ek
             NZP6RLopRMPa4NLtdq5lj5/RTgU9v0Ay
             wJo46W/dNzDOpdhRZI6adA==
 GOST      : j4ihU9+GlfxVfC1ooM97akuaiqZgRX46
             FECX18ZCVQQ=


End timestamp: 2024-11-07 19:53:43 +0800 (run time: 0m 0s)

##检查结果显示：该目录下的文件发生了变动，具体为新创建了222.txt文件

FIPSR内容详解

FIPSR = p+i+n+u+g+s+m+c+acl+selinux+xattrs+sha256
做校验的时候，收集的信息
核心： sha256 内容
p  权限
i  inode
n  硬链接数 
u  uid 
g  gid 
s  大小
m  修改时间
c  属性改变时间
acl+selinux+xattrs   特殊权限属性