AIDE、sudo、TCP_Wrappers的基本使用

一、AIDE的作用

AIDE(Adevanced Intrusion Detection Environment) 高級非法***檢測環境，是一個檢測工具，主要用途是檢查文件的完整性，當一個非法用戶者進入了你的系統並且種植了病毒，通常會想辦法來隱蔽這個病毒（除了自身的一些隱蔽特性外，他會盡量給你檢查系統的過程設置障礙），通常會修改一些文件，比如管理員通常用ps -aux 來查看系統進程，那麼很可能用自己經過修改的ps程序來替換掉你係統上的ps程序，以使用ps命令查不到正在運行的病毒程序。如果發現管理員正在運行crontab作業，也有可能替換掉crontab程序等，AIDE是一款免費的但功能也很強大的工具，主要就是審計計算機上的哪些文件被更改過。

AIDE能夠構造一個指定文件的數據庫，它使用aide.conf作爲其配置文件。 AIDE數據庫能夠保存文件的各種屬性，包括：權限(permission)、索引節點序號(inode number)、所屬用戶(user)、所屬用戶組(group)、文件大小、最後修改時間(mtime)、創建時間(ctime)、最後訪問時間(atime)、增加的大小以及連接數。AIDE還能夠使用下列算法：sha1、md5、rmd160、tiger，以密文形式建立每個文件的校驗碼或散列號。

注：rpm -V 也可以查看文件的修改狀況，但是查看的信息不如AIDE的詳細，且rpm -V 只能查看rpm包的信息。

二、安裝AIDE

1、AIDE系統默認未被安裝，需要通過手動安裝：yum install aide

2、修改配置文件：vim /etc/aide.conf，該文件規定了一些默認規則，和設置的策略。

默認規則： # These are the default rules.

#p: permissions

#i: inode:

#n: number of links

#u: user

#g: group

#s: size

#b: block count

#m: mtime

#a: atime

#c: ctime

#S: check for growing size

#acl: Access Control Lists

#selinux SELinux security context

#xattrs: Extended file attributes

#md5: md5 checksum

#sha1: sha1 checksum

#sha256: sha256 checksum

#sha512: sha512 checksum

#rmd160: rmd160 checksum

#tiger: tiger checksum

在配置文件中添加一條策略：策略名=默認規則，如下圖。

爲需要檢測的文件添加該策略：文件名策略名；若是某些文件不需要檢測需要在前加！，如下圖：！/usr/src

3、在/app目錄下做一些修改操作後：aide --init/aide -i生成數據庫（/var/lib/aide下）。

4、查看文件做了哪些修改操作 ,在該實驗中提前修改/app/file1、file2、file3的數據：aide -C進行校驗不同，查看修改的信息，會發現只顯示file1和file2的數據發生了改變，而file3的數據更改後未被提示，這是因爲在aide.conf文件中設置成不檢測該文件。

更新數據庫，會重新生成一會數據庫，但結果不會覆蓋原數據：aide -u 需要手動修改。

三、sudo

sudo系統管理指令，是允許系統管理員讓普通用戶執行一些或者全部的root命令的一個工具。減少root用戶的登錄和管理時間，同時也提高了安全性。sudo不是對shell的一個代替，它是面向每個命令的。sudo能夠授權指定用戶在指定主機上運行某些命令。如果未授權用戶嘗試使用sudo，會提示x聯繫管理員。sudo可以提供日誌，記錄每個用戶使用sudo操作。sudo爲系統管理員提供配置文件，允許系統管理員集中地管理用戶的使用權限和使用的主機。

通過visudo命令編輯主配置文件，且具有語法檢查功能。