admin 管理员组文章数量: 1086019
2024年4月15日发(作者：如何dump secdata)
AIDE 使用手册 检测文件完整性
AIDE使用手册(检测文件完整性)2009年10月15日星期四23：21什么是
AIDE AIDE(Adevanced Intrusion Detection Environment,高级入侵检测环境)
是一个入侵检测工具，主要用途是检查文件的完整性。AIDE能够构造一个指定
文件的数据库，它使用作为其配置文件。AIDE数据库能够保存文件
的各种属性，包括：权限(permission)、索引节点序号(inode number)、所属
用户(user)、所属用户组(group)、文件大小、最后修改时间(mtime)、创建时
间(ctime)、最后访问时间(atime)、增加的大小以及连接数。AIDE还能够使用
下列算法：sha1、md5、rmd160、tiger，以密文形式建立每个文件的校验码或
散列号。在系统安装完毕，要连接到网络上之前，系统管理员应该建立新系统
的AIDE数据库。这第一个AIDE数据库是系统的一个快照和以后系统升级的准
绳。数据库应该包含这些信息：关键的系统二进制可执行程序、动态连接库、
头文件以及其它总是保持不变的文件。这个数据库不应该保存那些经常变动的
文件信息，例如：日志文件、邮件、/proc文件系统、用户起始目录以及临时
目录。一旦发现系统被侵入，系统管理员可能会使用ls、ps、netstat以及
who等系统工具对系统进行检查，但是所有这些工具都可能被特洛伊木马程序
代替了。可以想象被修改的ls程序将不会显示任何有关入侵的文件信息，ps
也不会显示任何入侵进程的信息。即使系统管理员已经把关键的系统文件的日
期、大小等信息都打印到了纸上，恐怕也无法通过比较知道它们是否被修改过
了，因为文件日期、大小等信息是非常容易改变的，一些比较好的rootkit可
以很轻松地对这些信息进行假冒。虽然文件的日期、大小等信息可能被假冒，
但是假冒某个文件的一个加密校验码(例如：mk5)就非常困难了，更不要说假冒
所有AIDE支持的校验码了。在系统被侵入后，系统管理员只要重新运行AIDE，
就能够很快识别出哪些关键文件被攻击者修改过了。不过，要注意这也不是绝
对的，因为AIDE可执行程序的二进制文件本身可能被修改了或者数据库也被修
改了。因此，应该把AIDE的数据库放到安全的地方，而且进行检查时要使用保
证没有被修改过的程序。编译快速安装如果你已经安装了所有所需的软件，只
要输入以下命令，就可以安装好AIDE了。#tar zxvf aide-版本号.#cd
aide-版本号#./configure#make#make install获取所需的软件在编译安装
AIDE之前，应该首先获取以下软件：ANSI C编译器(例如：GCC)。GNU Flex
GNU Bison GNU Make Aide源代码如果你想要mhash支持需要安装mhash库。
如果你想使用PostgreSql保存AIDE数据库，需要安装PostgreSql开发库然后，
就可以解压aide源代码包，准备安装了tar zxvf aide-版本号.配置编
译选项下面，你就可以使用configure脚本对各种编译选项进行配置了。可以
输入./configure--help命令获得帮助信息。其中的大部分选项，你不必关心。
一般只需要设置以下选项：--with-mhash使用这个选项加入mhash的支持。--
with-gnu-regexp使用GNU正则表达式库--prefix=改变默认的安装路径--
with-psql加入对PostgreSQL的支持编译安装输入make命令进行安装，然后
输入make install命令将aide安装到指定的目录。配置接下来，你需要建立
一个配置文件。aide的配置文件是，其语法和Tripwire的配置文件
极为相似，Tripwire的配置文件可以很轻松转换为。
文件中的内容是大小写敏感的，而且开头和结尾的空格都被忽略。
文件中有三种类型的语句：配置选项设置配置参数以及定义/取消定
义变量。选择选项选择加入数据库的文件。宏这些选项中，只有选择选项是必
须的。以#开头的行是注释行，它们将被忽略。配置选项配置选项的一般格式是
参数=值。database aide要读的数据库。只能有一个，如果定义多个,aide就
会使用第一个，默认值是./。database_out要输出的新数据库。只能
有一个，如果定义了多个，aide就会使用第一个，默认值是./。
verbose输出信息的级别。值可以在0-255之间。这个参数只能被定义一次。
如果运行aide时，使用了--verbose或者-V命令行，aide就会使用这个参数
定义的值。默认是5。在执行--check或者--update操作时，如果这个值是20，
aide就会输出额外的报告信息。report_url报告信息从哪个URL输出。这个参
数可以定义多个事例。aide会把输出送到所有定义的URL。默认值是标准输出
(stdout)。gzip_dbout是否对输出的数据库进行压缩。有效的值有yes、true、
no、false。默认值是no。只有编译时连接了zlib库，这个选项才会生效。组
定义如果参数不是上面的任何参数，AIDE就认为这是一个组的定义。值就被认
作是一个表达式。表达式是如下格式：预定义的组|表达式+预定义的组|表达式
-预定义的组请参考DEFAULT GROUPS关于默认预定义组的解释。有一个特别的
组叫作ignore_list。这个预定义组列出不在最后的报告中显示的组。选择选
项选择选项有三种类型：regular、negative、equals。以/开始就是正则
(regular)选择选项；以！开头就是否定(negative)选择选项；以=打头就是等
于(equals)选择选项。AIDE将把这些符号之后的字符串看作对文件名(包括目
录)进行匹配的正则表达式。要获得更深入的解释，请参考配置选项。宏
@define VAR var把变量VAR的值定义为var。@undef VAR取消VAR变量的定
义。@ifdef VAR,@ifndef VAR@ifdef是一个if状态的开始，一个if状态必须
以@endif宏结束。@ifdef和@endif之间的选项取决于变量VAR是否被定义。
如果在@ifdef和@endif之间使用了@else宏，就表示如果VAR变量已经定义就
使用@ifdef和@else之间的选项；否则就使用@else和@endif之间的选项。
@ifndef在逻辑上和@ifdef相反的，用法差不多。@{VAR}使用VAR变量的值代
替@{VAR}。如果变量VAR没有定义就使用一个空字符串。@ifhost
hostname,@ifnhost hostname用法和@ifdef类似。检查hostname是否等于运
行AIDE的主机名。hostname是主机名，不包括域名。@else if状态else部分
的开始@endif if状态的结束URL AIDE当前支持的URL如下。注意：输入的
URL不能和输出的URL相同，反之亦然。stdout,stderr输出到标准输出设备或
者标准错误输出设备stdin从标准输入设备输入file：//filename从文件
filename输入，或者输出到文件filename。fd：number从文件描述符number
输入或者输出。aide的后续版本将会支持更多的URL，例如：email报告，
syslog等。DEFAULT GROUPS AIDE默认的组有以下这些：p权限inode索引节
点n连接数量u用户g用户组s大小m最后一次修改时间a最后一次访问时间
c创建时间S检查增加的大小md5 md5校验sha1 sha1校验rmd160校验tiger
tiger校验R p+i+n+u+g+s+m+c+md5 Lp+i+n+u+g E空组增长的日志文件
p+u+g+i+n+S如果在编译时，加入了mhash库的支持，还可以使用如下的组：
crc32 crc32校验haval haval校验gost gost校验例子/R将机器上的所有文
件都加入数据库。使用md5对文件的权限、索引节点、连接数量、用户、用户
组、大小、最后修改时间以及创建时间进行校验。！/dev忽略/dev目录
=/tmp$只把/tmp目录加入到数据库，不包括其子目录。
ALL=p+i+n+u+g+s+m+c+a+md5+sha1+tiger+rmd160定义了一个新的组。包括所
有的属性和所有的md校验功能。通常，进行配置时，要尽量忽略经常8变动的
目录和文件，例如：临时目录、邮件spool目录、日志目录、porc文件系统、
用户起始目录、WEB正文目录以及其它经常变动的目录和文件。此外，要尽量
包含所有的系统二进制文件、库文件、包含文件、系统源文件。其它一些你不
经常注意的文件和目录，例如：/dev、usr/man/*、/usr/包含在内。注意：如
果你只想包含单个文件，就应该在表达式的结尾加$。例如：=/tmp$，表示只把
tmp目录加入，而不包括其子目录。使用使用AIDE的第一件事当然是建立一个
数据库，以便将来检查。这项工作要在系统或者应用程序安装完毕以后，要连
接到网络上之前进行。可以使用以下参数启动AIDE完成这项工作：aide--init
数据库产生后一定要放到一个安全的地方。aide有两种参数：命令参数和选项
参数，以下是aide的命令参数：--check检查数据库的一致性。需要一个初始
化的AIDE数据库。也是AIDE的默认命令选项。--init初始化一个数据库--
update检查数据库，并且以非交互的方式升级数据库。输入的数据库和输出的
数据库必须是不同的。选项参数：--config=configfile指定configfile文件
作为配置文件，不使用默认的./。如果使用-，aide就从标准输入中
读取。--before=configparameters在读取配置文件之前，首先处理
configparameters指定的配置选项。--after=configparameters处理完配置文
件设置的配置选项以后，再处理configparameters设置的配置选项。--
verbose=verbosity_level,-V verbosity_level控制aide信息显示的冗余程
度。值在0到255之间。--report=reporter,-r指定报告输出的URL。--
version,-v显示版本号--help,-h显示帮助信息aide是一个Tipwire的替代和
扩展软件，它有一些Tripwire所不具备的特征。aide当前具备的特征包括：
多种完整性检验算法、把数据库输出到标准输出设备/文件的能力、通过配置文
件进行配置以及数据库压缩支持。将来aide会提高更多的特征。
版权声明：本文标题：AIDE使用手册检测文件完整性 内容由网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：http://www.roclinux.cn/b/1713140510a621880.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。
发表评论