🎓 🤹🏿 🕴🏼 CentOS 8 में AIDE (एडवांस्ड इंट्रूज़न डिटेक्शन एनवायरनमेंट) को कैसे स्थापित करें और उसका उपयोग करें 💣 ⤵️ 🍬

लिनक्स प्रशासक पाठ्यक्रम की शुरुआत की प्रत्याशा में , हमने दिलचस्प सामग्री का अनुवाद तैयार किया।

AIDE का अर्थ है "उन्नत घुसपैठ का पता लगाने वाला वातावरण", लिनक्स आधारित ऑपरेटिंग सिस्टम में परिवर्तन की निगरानी के लिए सबसे लोकप्रिय प्रणालियों में से एक। AIDE का उपयोग मैलवेयर, वायरस से बचाने और अनधिकृत कार्यों का पता लगाने के लिए किया जाता है। फ़ाइल अखंडता और घुसपैठ का पता लगाने के लिए, AIDE फ़ाइल जानकारी के साथ एक डेटाबेस बनाता है और इस डेटाबेस के साथ सिस्टम की वर्तमान स्थिति की तुलना करता है। AIDE उन जांच-पड़ताल के समय को कम करने में मदद करता है जो संशोधित की गई फ़ाइलों पर ध्यान केंद्रित करती हैं।

वीडियो की विशेषताएं:

सहित विभिन्न फ़ाइल विशेषताओं के लिए समर्थन: फ़ाइल प्रकार, इनोड, यूआईडी, जीआईडी, अनुमतियाँ, लिंक की संख्या, माइम, समय और Atime।
Gzip, SELinux, XAttrs, Posix ACL, और फाइल सिस्टम संपीडन के लिए समर्थन।
विभिन्न एल्गोरिदम के लिए समर्थन, सहित, md5, sha1, sha256, sha512, rmd160, crx32, आदि।
ईमेल सूचनाएं।

इस लेख में, हम यह देखेंगे कि CentOS 8 में घुसपैठ का पता लगाने के लिए AIDE कैसे स्थापित करें और उसका उपयोग करें।

आवश्यक शर्तें

कम से कम 2 जीबी रैम के साथ CentOS 8 चलाने वाला सर्वर।
मूल प्रवेश

शुरू करना

यह अनुशंसा की जाती है कि आप पहले अपने सिस्टम को अपग्रेड करें। ऐसा करने के लिए, निम्न आदेश चलाएँ।

dnf update -y

नवीनीकरण के बाद, परिवर्तनों को प्रभावी करने के लिए सिस्टम को पुनरारंभ करें।

AIDE स्थापित करें

AIDE डिफ़ॉल्ट CentOS 8 रिपॉजिटरी में उपलब्ध है। आप निम्न कमांड को चलाकर आसानी से इसे स्थापित कर सकते हैं:

dnf install aide -y

स्थापना पूर्ण होने के बाद, आप निम्न आदेश का उपयोग करके AIDE संस्करण देख सकते हैं:

aide --version

आपको निम्नलिखित देखना चाहिए:

Aide 0.16

Compiled with the following options:

WITH_MMAP
WITH_PCRE
WITH_POSIX_ACL
WITH_SELINUX
WITH_XATTR
WITH_E2FSATTRS
WITH_LSTAT64
WITH_READDIR64
WITH_ZLIB
WITH_CURL
WITH_GCRYPT
WITH_AUDIT
CONFIG_FILE = "/etc/aide.conf"

उपलब्ध विकल्पों aideको निम्नानुसार देखा जा सकता है:

aide --help

डेटाबेस बनाना और शुरू करना

AIDE स्थापित करने के बाद आपको जो पहली चीज करनी है, वह है इसे इनिशियलाइज़ करना। प्रारंभिककरण में सर्वर की सभी फ़ाइलों और निर्देशिकाओं का एक डेटाबेस (स्नैपशॉट) बनाना शामिल है।

डेटाबेस को इनिशियलाइज़ करने के लिए, निम्न कमांड चलाएँ:

aide --init

आपको निम्नलिखित देखना चाहिए:

Start timestamp: 2020-01-16 03:03:19 -0500 (AIDE 0.16)
AIDE initialized database at /var/lib/aide/aide.db.new.gz

Number of entries:	49472

---------------------------------------------------
The attributes of the (uncompressed) database(s):
---------------------------------------------------

/var/lib/aide/aide.db.new.gz
  MD5      : 4N79P7hPE2uxJJ1o7na9sA==
  SHA1     : Ic2XBj50MKiPd1UGrtcUk4LGs0M=
  RMD160   : rHMMy5WwHVb9TGUc+TBHFHsPCrk=
  TIGER    : vkb2bvB1r7DbT3n6d1qYVfDzrNCzTkI0
  SHA256   : tW3KmjcDef2gNXYqnOPT1l0gDFd0tBh9
             xWXT2iaEHgQ=
  SHA512   : VPMRQnz72+JRgNQhL16dxQC9c+GiYB8g
             uZp6uZNqTvTdxw+w/IYDSanTtt/fEkiI
             nDw6lgDNI/ls2esijukliQ==


End timestamp: 2020-01-16 03:03:44 -0500 (run time: 0m 25s)

उपरोक्त कमांड aide.db.new.gzडायरेक्टरी में एक नया डेटाबेस बनाएगी /var/lib/aide। इसे निम्नलिखित कमांड का उपयोग करके देखा जा सकता है:

ls -l /var/lib/aide

परिणाम:

total 2800
-rw------- 1 root root 2863809 Jan 16 03:03 aide.db.new.gz

AIDE इस नई डेटाबेस फ़ाइल का उपयोग तब तक नहीं करेगा जब तक इसका नाम बदल न दिया जाए aide.db.gz। इसे इस प्रकार किया जा सकता है:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

यह अनुशंसा की जाती है कि परिवर्तनों की आवश्यक निगरानी प्रदान करने के लिए इस डेटाबेस को समय-समय पर अद्यतन किया जाए।

आप DBDIRफ़ाइल में पैरामीटर को बदलकर डेटाबेस का स्थान बदल सकते हैं /etc/aide.conf।

चेक चलाएं

AIDE अब नए डेटाबेस का उपयोग करने के लिए तैयार है। बिना कोई बदलाव किए पहले AIDE चेक करें:

aide --check

इस कमांड के निष्पादन में आपकी फ़ाइल प्रणाली के आकार और आपके सर्वर पर RAM की मात्रा के आधार पर कुछ समय लगेगा। जाँच पूरी होने के बाद, आपको निम्नलिखित देखना चाहिए:

Start timestamp: 2020-01-16 03:05:07 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

उपरोक्त आउटपुट का कहना है कि सभी फाइलें और निर्देशिकाएं AIDE डेटाबेस के अनुरूप हैं।

परीक्षण वीडियो

डिफ़ॉल्ट रूप से, AIDE डिफ़ॉल्ट Apache रूट निर्देशिका को ट्रैक नहीं करता है। /var/www/html.आइए इसे देखने के लिए AIDE कॉन्फ़िगर करें। ऐसा करने के लिए, आपको फ़ाइल को बदलने की आवश्यकता है /etc/aide.conf।

nano /etc/aide.conf

लाइन के ऊपर "/root/CONTENT_EX"निम्नलिखित जोड़ें :

/var/www/html/ CONTENT_EX

अगला, निम्नलिखित कमांड का उपयोग करके aide.txtनिर्देशिका में एक फ़ाइल बनाएं /var/www/html/:

echo "Test AIDE" > /var/www/html/aide.txt

अब AIDE चेक चलाएं और सुनिश्चित करें कि बनाई गई फ़ाइल का पता चला है।

aide --check

आपको निम्नलिखित देखना चाहिए:

Start timestamp: 2020-01-16 03:09:40 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

हम देखते हैं कि बनाई गई फ़ाइल का पता चला है aide.txt।
पता किए गए परिवर्तनों का विश्लेषण करने के बाद, AIDE डेटाबेस को अपडेट करें।

aide --update

उन्नयन के बाद, आप निम्नलिखित देखेंगे:

Start timestamp: 2020-01-16 03:10:41 -0500 (AIDE 0.16)
AIDE found differences between database and filesystem!!
New AIDE database written to /var/lib/aide/aide.db.new.gz

Summary:
  Total number of entries:	49475
  Added entries:		1
  Removed entries:		0
  Changed entries:		0

---------------------------------------------------
Added entries:
---------------------------------------------------

f++++++++++++++++: /var/www/html/aide.txt

उपरोक्त कमांड aide.db.new.gzडायरेक्टरी में एक नया डेटाबेस बनाएगी

/var/lib/aide/

आप इसे निम्न कमांड से देख सकते हैं:

ls -l /var/lib/aide/

परिणाम:

total 5600
-rw------- 1 root root 2864012 Jan 16 03:09 aide.db.gz
-rw------- 1 root root 2864100 Jan 16 03:11 aide.db.new.gz

अब नए डेटाबेस को फिर से नाम दें ताकि AIDE नए डेटाबेस का उपयोग करके और परिवर्तनों को ट्रैक कर सके। नाम इस प्रकार है:

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

यह सत्यापित करने के लिए परीक्षण फिर से चलाएं कि AIDE नए डेटाबेस का उपयोग कर रहा है:

aide --check

आपको निम्नलिखित देखना चाहिए:

Start timestamp: 2020-01-16 03:12:29 -0500 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!

स्वचालित सत्यापन

हर दिन AIDE चेक चलाना और मेल द्वारा रिपोर्ट भेजना एक अच्छा विचार है। इस प्रक्रिया को क्रोन के साथ स्वचालित किया जा सकता है।

nano /etc/crontab

AIDE चेक को हर दिन 10:15 बजे शुरू करने के लिए, फ़ाइल के अंत में लाइन जोड़ें:

15 10 * * * root /usr/sbin/aide --check

अब AIDE आपको मेल द्वारा सूचित करेगा। आप निम्न कमांड के साथ मेल की जांच कर सकते हैं:

tail -f /var/mail/root

AIDE लॉग को निम्न कमांड का उपयोग करके देखा जा सकता है:

tail -f /var/log/aide/aide.log

निष्कर्ष

इस आलेख में, आपने सीखा कि फ़ाइल परिवर्तन का पता लगाने और सर्वर पर अनधिकृत पहुँच का पता लगाने के लिए AIDE का उपयोग कैसे करें। अतिरिक्त सेटिंग्स के लिए, आप कॉन्फ़िगरेशन फ़ाइल /etc/aide.conf को संशोधित कर सकते हैं। सुरक्षा कारणों से, यह अनुशंसा की जाती है कि आप डेटाबेस और कॉन्फ़िगरेशन फ़ाइल को केवल-पढ़ने के लिए मीडिया पर संग्रहीत करें। अधिक जानकारी के लिए, सहयोगी डॉक्टर प्रलेखन ।

पाठ्यक्रम के बारे में अधिक जानें।

CentOS 8 में AIDE (एडवांस्ड इंट्रूज़न डिटेक्शन एनवायरनमेंट) को कैसे स्थापित करें और उसका उपयोग करें

आवश्यक शर्तें

शुरू करना

AIDE स्थापित करें

डेटाबेस बनाना और शुरू करना

चेक चलाएं

परीक्षण वीडियो

स्वचालित सत्यापन

निष्कर्ष

More articles: