AIDE入侵检测

检测在某个时间段内某个目录下发生了哪些变化。

1、安装以及相关配置
yum -y install aide

vim /etc/aide.conf
@@define DBDIR /var/lib/aide	#数据库目录
@@define LOGDIR /var/log/aide	#日志目录
database=file:@@{DBDIR}/aide.db.gz	#基本数据文件
database_out=file:@@{DBDIR}/aide.db.new.gz	#更新后的数据文件

# 下面的内容是一些规则
#p:      permissions
#i:      inode:
#n:      number of links
#u:      user
#g:      group
#s:      size
#md5:    md5 checksum
#sha1:   sha1 checksum
#sha256:        sha256 checksum
...
FIPSR = p+i+n+u+g+s+m+c+acl+selinux+xattrs+sha256	#检测规则的组合，54行
...
# 下面是对目录进行了相关的检测,99行开始
/boot/   CONTENT_EX
/bin/    CONTENT_EX
/sbin/   CONTENT_EX
/lib/    CONTENT_EX
/lib64/  CONTENT_EX
/opt/    CONTENT



2、测试：
由于配置文件中检测的目录太多，会影响执行的速度。
为了方便测试，需要自定义检测目录。
sed -i '99,312s/^/#/' /etc/aide.conf
vim +98 /etc/aide.conf
/root/ FIPSR	#自定义检测目录，指定检测规则

aide --init	#初始化，在/var/lib/aide目录下会产生文件，aide.db.new.gz

在入侵之前将数据库文件进行备份
mv /var/lib/aide/aide.db.new.gz /media	#移动到u盘，光盘都可以
cp /media/aide.db.new.gz /var/lib/aide/aide.db.gz	#和配置文件中database=file:@@{DBDIR}/aide.db.gz对应，基本数据文件

在/root./目录下创建一系列文件
echo 123456 > aa.txt
echo 789456123 > bb.txt

aide --check	#进行检测
# 根据配置文件中定义的目录生成检测信息，
# 并且和/var/lib/aide/aide.db.gz 进行比较，把对比的结果输出到屏幕

写总结的第六十天！！！