安全入侵检测之AIDE

0x00 为何要用

入侵检测，安全领域当中最基本也是最好用的一种攻击检测方式。对于我们的服务器来讲，假设被攻击了，破坏数据并不是绝大多数攻击者的本意，更多的是想要用我 们的服务器去做爱做的事。所以一旦服务器遭到入侵，很多的配置，可能是会被改变的。比如新安装了一个软件，比如突然多了一些数据，或者说服务器的配置文件 发生了变化。那么，AIDE这款入侵检测软件就可以检测我们系统的一些变动，而这些直接检测出来的结果就可以作为我们服务器被攻破的依据。注意：我们这里 所说的入侵检测，并非网络的入侵检测，而是系统的入侵检测。

0x01 关于AIDE

AIDE 是(Advanced Intrusion Detection Environment) 高级入侵检测的缩写，实现的功能主要对文件完整性进行检测。

0x02 工作原理

AIDE 首先会初始化一个被监测文件的数据库,它会提前对文件进行一个校验运算，把校验值保存到数据库中。最后根据管理员的配置进行周期性检查，比如说1天、1 周,或者手动检查。检查的时候其实就是对被监测文件再进行一次校验，把新校验值和原校验值进行对比，如果不一样证明有变动。

0x03 校验算法

#md5
#sha1
#rmd160
#tiger
#crc32
#sha256
#sha512
#whirlpool
#gost
#haval
#crc32b

0x04 监测属性

#p: permissions <==权限
#i: inode <==innode号
#u: uid <==用户id
#g: gid <==组id
#l: link name <==链接名称
#s: size <==文件大小
#b: block count <==block的总数
#n: number of links <==链接数量
#a: atime <==最后访问时间
#m: mtime <==最后修改时间
#c: ctime <==最后改变时间
#S: growing size <==数据增长大小
#acl: Access Control Lists <==访问控制列表
#selinux: SELinux security context <==SElinux上下文
#xattrs: Extended file attributes <==文件扩展属性

0x05 安装/配置

# yum install -y aide <==yum方式安装aide
# cp /etc/aide.conf /etc/aide.conf.default <==备份原配置文件
# vim /etc/aide.conf <==修改配置文件

首先我们把默认监测对象通通干掉：

然后选择监测属性/创建监测规则：

设定监测对象：

最不应该变得就是配置文件和命令。

0x06 AIDE使用

# aide --init <==初始化监测数据库
# mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz <==把生成的监测数据库重命名
# aide --check <==手动检测
# aide --update <==更新数据库
# echo "* 2 * * * /usr/sbin/aide --check | mail -s \"AIDE Report\" root@wooyun.org" >> /etc/crontab <==周期性检查，每2分钟一次，并把检测结果发到管理员邮箱