Verificando a Integridade do sistema com AIDE

Enviado por DarkWarrior em Qua, 2007-01-17 08:09. Artigo Técnico

Autor: Fabiano S. Rech
eMail: fabiano[NOSPAM]linuxbsd.com.br
Data: 2003

Todo bom administrador de sistemas deve ter o bom habito de regularmente analisar as mudanças decorrentes em seu sistema, mudanças tais como permissões, arquivos recém criados, inodes alterados, mudança nos parâmetros do programas, para isto existem varias ferramentas disponíveis, uma delas é o AIDE ( Advanced intrusion detection enviroment), o qual eu usei em um servidor Red Hat, pude constatar um ótimo programas capaz de me auxiliar na segurança do meu sistema, se lhe interessa isto, se você prima segurança tem que interessar, acompanhe todo o procedimento de instalação e configuração uso e opções disponíveis.

Instalação:

Para instalar o AIDE acesse a pagina http://www.cs.tut.fi/~rammer/aide.html e baixe a versão mais atual do pacote.

Descompactando e compilando oAide:

O procedimento é padrão como em varias instalações de programas por compilação, veja a seguir exemplificado: % tar -zxvf aide.xxx.tar.gz
% cd aidexxx
% ./configure
% make
% make install (root)

Você poderá encontrar alguns problemas com a falta da depedência "mhash" para isto baixe ele em http://schumann.cx/mhash/ haja com o mesmo procedimento anterior para a sua instalação, caso prefira instalar via rpm, também pode se encontrar o pacote aidexxx.rpm acesse o sistema de busca do site linuxbsd e procure pelo pacote rpm.

Configuração

Depois de instalado e copiado paras os diretórios o aide criar um arquivo de configuração muito pratico em /etc/aide/aide.conf este 'e o arquivo que usaremos para as demais configurações, veja a seguir um exemplo do arquivo padrão:

#AIDE conf
database=file:/var/lib/aide/aide.db

database_out=file:/var/lib/aide/aide.db.new

# Here are all the things we can check - these are the default rules

#

#p: permissions

#i: inode

#n: number of links

#u: user

#g: group

#s: size

#b: block count

#m: mtime

#a: atime

#c: ctime

#S: check for growing size

#md5: md5 checksum

#sha1: sha1 checksum

#rmd160: rmd160 checksum

#tiger: tiger checksum

#R: p+i+n+u+g+s+m+c+md5

#L: p+i+n+u+g

#E: Empty group

#>: Growing logfile p+u+g+i+n+S

# You can alse create custom rules - my home made rule definition goes like this

#

# /etc p+i+u+g #check only permissions, inode, user and group for etc

# /bin MyRule# apply the custom rule to the files in bin

# /sbin MyRule # apply the same custom rule to the files in sbin

# /usr/bin MyRule

# /usr/sbin MyRule

# /var MyRule

# !/var/log/.* # ignore the log dir it changes too often

# !/var/spool/.* # ignore spool dirs as they change too often

MyRule = p+i+n+u+g+s+b+m+c+md5+sha1

All=R+a+sha1+rmd160+tiger

Standard=s+p+u+g+c+md5+sha1

Min=s+p+u+g+c+sha1

Minetc=s+p+u+g+sha1

/boot Standard

/lib Standard

/etc Minetc

/bin Standard

/sbin MyRule

/usr/sbin MyRule

/root/ Standard

!/usr/tmp

#!/usr/local/man/whatis

#!/usr/lib/perl5/man/whatis

!/usr/share/man/whatis

!/usr/X11R6/man/whatis

/usr Standard

/usr/local/etc Min

/var Min

/var/lib/rpm Standard

!/var/tmp

!/var/lock

!/var/lost+found

!/var/log

!/var/spool

!/var/run

!/var/account

!/var/lib

!/var/cache

!/var/mail

Você pode incluir diretório ou excluir diretórios da verificação, eu para testes inluir o diretório /root com a opção standard como verificação, você pode criar as suas próprias regras de verificação.

Opções para criar Regras.
O aide se destacou também por ser extremamente versátil, além de poder salvar as verificações em banco de dados postgres, e também o uso de expressões regulares e paramentros que podem informar os procedimentos de uso, como você pode ter visto atraz no arquivo de configuração do AIDE, existe varias opçõs e regras de verificação, você poderá criar as suas próprias veja a seguir um detalhe sobre elas:

Sintaxe

Descrição

O que é

Permissão de arquivo

Permissões de arquivos alterados(leitura, escrita, setuserid).

inodo

Se o inod for alterado, ou danificado e removido.

Quantidade de vínculos

Todos os vínculos descritos ao programas 'e útil para descobrir se comandos como cp, rm, ls foram substituídos por outros, ou se ha agora algum vinculo novo para eles.

Propriedade de usuário

Verifica acesso inadequado a arquivos mudando a propriedade do usuário.

Propriedade do Grupo

O mesmo que usuário.

Tamanho do arquivo

Toda a alteração no tamanhos dos arquivos, pode acarretar na mudança do próprio arquivo.

Mtime

O horário da última alteração do arquivo, muito pouco usado.

Atime

O horário do ultimo acesso ao arquivo, é inseguro pois pode ser burlado.

Ctime

A hora de alteração no inode.

Alteração no tamanho

Alteração no tamanho do arquivo, esperasse que possa aumentar mas nunca diminuir de tamanho.

md5

A soma md5, é altamente usado e confiável.

sha1

Secure hash algorithm, baseado no sistema de assinatura digital NIST.

md1600

O RIPEMD-160, uma função interativa do hash.

tiger

Uma função de hash.

crc32

A soma CRC32, verifica redundância cíclica. bem rápida, o suporte mhash tem que estar disponível.

haval

A soma de verificação haval, também necessita do mhash

gost

A soma de verificação gost, também somente disponível com o mhash.

Letra

Agrupamento.

Significado.

Grupo Vazio, tudo é ignorado.

p+i+n+u+g

Verifica permissões de arquivos, ótimo pra logs.

p+i+n+u+g+s+m+c+md5

além de verificar as permissões como L verifica o tamanho do arquivo, e o horário, e executa somas md5.

p+i+n+u+g+S

Mais para alterações no tamanho do arquivo, aceita o seu crescimento, mas não que diminua.