AIDE及sudo应用

AIDE(Advanced Intrusion Detection Environment)

1、AIDE作用

• 高级入侵检测环境)是一个入侵检测工具，主要用途是检查文件的完整性，审计计算机上的那些文件被更改过
• AIDE能够构造一个指定文件的数据库，它使用aide.conf作为其配置文件。AIDE数据库能够保存文件的各种属性，包括：权限(permission)、索引节点序号(inode number)、所属用户(user)、所属用户组(group)、文件大小、最后修改时间(mtime)、创建时间(ctime)、最后访问时间(atime)、增加的大小以及连接数。AIDE还能够使用下列算法：sha1、md5、rmd160、tiger，以密文形式建立每个文件的校验码或散列号.
• 这个数据库不应该保存那些经常变动的文件信息，例如：日志文件、邮件、/proc文件系统、用户起始目录以及临时目录.

2、安装RPM包

支持AIDE，首先的安装相关的RPM，yum install aide

3、配置

vim /etc/aide.conf

4、实验

4.1 要求：监控/data目录下的f1,f2文件，但是不监控f3文件

4.2 步骤

• vim /etc/ (

  RULE = p+sha1+u+m 

  /data RULE 

  !/data/f3)

• aide --init 
•  mv aide.db.new.gz aide.db.gz
• aide --check 

  AIDE, version 0.15.1

  ### All files match AIDE database. Looks okay!

• 删除一些字符在f1文件中
• aide --check

 会显示修改之后的不同

AIDE 0.15.1 found differences between database and filesystem!!Start timestamp: 2018-05-24 22:04:40

 

sudo

语法：

who：运行命令者的身份，user
where：通过哪些主机,host
(whom):以哪个用户身份,runas
which: 运行哪些命令,command
配置项：
user host=(runas) COMMANDS

users:

username
#uid
user_alias
%group_name
%#gid

hosts:

ip
hostname
netaddr

command:

command name
directory
sudoedit

Alias_Type NAME = item1,item2
NAME:必须使用全大写
Alias_Type:
User_Alias
Cmnd_Alias
Host_Alias
Runas_Alias

例子：

User_Alias NETADMIN = netuser1, netuser2
Cmnd_Alias NETADMINCMNDS= /user/sbin/ip
NETADMIN ALL=(root) NOPASSWD:NETADMINCMNDS

安装和帮助

rpm -qi sudo

qpm -ql sudo

man 5 sudoers

例子1

授权vmx用户挂载

[vmx@CentOS7 ~]$ mount /dev/sr0 /mnt
mount: only root can do that

 　　export EDITOR=vim

临时有效，也可以echo EDIROT=vim >> /etc/profile.d/env.sh

visudo

vmx     192.168.56.101=(root)   /bin/mount /dev/cdrom /mnt/

 

原因，在visudo中定义的mount目录是/mnt/

如下配置代表任何用户只要属于wheel组，就可以拥有root的所有权限

 如下的设置是为root用户留执行的后门，在某些场景下，root的uid不是0，这样意味着root不是实际上的管理员，但此时root仍以管理员的用户执行，sudo -u vmx 

 

例子2

一般情况下，不要把passwd通过sudo授权给普通用户，如果一些实际场景必须这样做，可以更改visudo配置，使普通用用户不能更改root的密码

 切换为netuser1，更改root密码，失败

 

日志

/var/log/secure记录了所有sudo操作的日志，可供查询。