Sikkerhet for å oppdage inntrengere ved å analysere Linux -fingeravtrykk

Servere og datamaskiner blir stadig utsatt for angrep fra virus, hacker eller folk som ønsker å spionere på informasjon. Å bli hacket eller ha sårbarheter er noe de fleste databrukere og server- og nettverksadministratorer frykter.
Det første vi må vite er hvilke filer som lager logger over handlingene som utføres på systemet. Noen av dem er:

• En viktig logg er utpm, som registrerer brukerne som bruker systemet mens de er koblet til serveren. Vi finner det i katalogen:

/ var / adm / utmp Y / etc / utmp

• En rask måte å se loggene dine er fra terminalvinduet med kommandoen quien som viser innholdet i utmp.

• Loggen wtmp Den har ansvaret for å registrere seg i en logg hver gang en bruker kommer inn i systemet eller forlater systemet. Den finnes i katalogene / var / adm / wtmp og / etc / wtmp. Det kan også vises med kommandoen:

hvem / usr / adm / wtmp

Kommandoen siste komm viser de siste kommandoene som er utført av alle på systemet. Denne kommandoen er bare tilgjengelig hvis du har prosesser som kjører. For å bruke det må vi installere et lite program som heter acct som er i depotene til noen Linux -distribusjon.

apt-get installere acct

Vi kan også søke etter filer som er endret innen en kjent tid, for eksempel:
Vis endrede filer for 10 minutter siden

finn -mmin +10

Vis endrede filer eldre enn en dag

finn -mtime +1

Vis endrede filer innen 5-10 minutter

finn -mmin +5 -mmin -10

Kontroller alltid at tjenestene som utføres når serveren eller datamaskinen starter er de vi har definert i filen /etc/inetd.conf
Vi kan også bruke et ID eller inntrengingsdeteksjonssystem, det er et sikkerhetsverktøy som prøver å oppdage eller overvåke hendelser som oppstår i et bestemt datasystem eller datanettverk på jakt etter forsøk på å kompromittere sikkerheten til nevnte system.
Et innbruddsdeteksjonssystem er, Snort det er en pakkesniffer og en inntrengningsdetektor fungerer for både Linux og Windows. Et annet verktøy er AIDE (Advanced Intrusion Detection Environment) er en fil- og katalogintegritetskontroll.
Snort den kan finnes komplett i en annen opplæring. La oss se hvordan du installerer Aide. Det er denne applikasjonen som gjør det mulig å ta et inntrykk av tilstanden til filsystemers integritet i Linux og hjelper til med å identifisere hvilke filer som har blitt endret i deres integritet siden installasjonen.

 sudo apt-get oppdatering sudo apt-get install aide 

Det er to konfigurasjonsfiler:

 / etc / default / aide Den generelle AIDE -konfigurasjonsfilen. /etc/aide/aide.conf AIDE -reglerens konfigurasjonsfil. 

 sudo touch /var/lib/aide/aide.db 

Deretter kan vi sjekke systemet med følgende kommando:

sudo aide -init

Vi kan også kontrollere endrede filer med følgende kommando:

sudo aide -sjekk