【大学课件】Linux系统管理与安全知识分享.pptVIP

Linux系統檔案完整性檢查 正常檔案特徵紀錄保存-檔案指紋建立 檔案檢查原理是比對，因此你必須在確定系統是乾淨的時候，建立比對依據的指紋資料(Fingerprint)，而建立這個檔案的最佳時機是當你完成系統安裝，尚未對外開放的時候，或系統完成更新時. File Time 、 Size 、 Access Mode 、 Check Sum… 檔案特徵比對 檔案特徵紀錄更新 系統檔案正常變動後 /sundae_meng 系統檔案檢查工具-AIDE AIDE (Advanced intrusion detection environment) 是一個可以藉由檔案完整性檢查(File Integrity Check)，協助管理者早期發現系統入侵跡象的安全工具。 AIDE可以根據管理者訂下的檔案範圍及檢查項目(Permission, Access Time, Modify Time, Check Sum ....)，藉由比對方式，產生檔案變動的報告。 AIDE可以檢查檔案特性項目包括：存取權限設定(permissions), inode編號(inode number), 檔案擁有者(user), 檔案擁有群組(group), 檔案大小(file size),檔案最近被修改時間(mtime and ctime), 檔案最近被修改時間(atime), 檔案大小的改變(growing size)及檔案鏈結數(number of links)… AIDE用來檢查檔案完整性的演算法(Algorithm)包括：sha1, md5, rmd160, tiger (crc32, haval and gost can be compiled in if mhash support is available). /sundae_meng AIDE AIDE適用平台： Solaris 2.5.1,2.6,7 、 Linux 2.2.x,2.0.x 、 FreeBSD 2.2.8,3.4 、 Unixware 7.0.1 、 BSDi 4.1 OpenBSD 2.6 Get AIDE: 檔名：aide-xx.tar.gz (xx is the version name, the current version is 0.7) Where ：? /data/tools/aide-0.7.tar.gz Use archie to find this file /sundae_meng AIDE AIDE安裝(參考 .tw/linux/aide.htm) Compile the source Modify the configuration file 保留哪些檔案的特徵 保留檔案的哪些特徵 Create initial AIDE Database (For the files finger print) aide --init /sundae_meng AIDE – An Example ###把/etc/passwd的permission由644改為664，測試aide可以檢查出來 [woody@nmc aide-0.7]# ls -l /etc/passwd -rw-r--r-- 1 root root 5596 Jun 15 09:45 /etc/passwd [woody@nmc aide-0.7]# chmod g+w /etc/passwd [woody@nmc aide-0.7]# ls -l /etc/passwd -rw-rw-r-- 1 root root 5596 Jun 15 09:45 /etc/passwd [woody@nmc aide-0.7]# aide - -check AIDE found differences between database and filesystem!! Start timestamp: 2000-06-16 15:40:30 Summary: Total number of files=1211,added files=0,removed files=0, changed files=1 Changed files: changed:/etc/passwd ###aide發現/etc/passwd的permission遭修改，並提出警告 Detailed information about changes:File: /etc/passwdPermissions: old = -rw-r--r-- , new = -rw-rw-r--Ctime: old = 2000-06-15 09:45:43, new = 2000-06-16 15:39:32End