Linux系統安全之AIDE（進階入侵檢測環境）篇

一.AIDE簡介

AIDE(Adevanced Intrusion Detection Environment,進階入侵檢測環境)是個入侵偵查工具，主要用途是檢查文檔的完整性。

AIDE能夠構造一個指定文檔的資料庫，他使用aide.conf作為其配置文檔。AIDE資料庫能夠儲存文檔的各種屬性，使用下列演算法：sha1、md5、rmd160、tiger，以密文形式建立每個文檔的校正碼或散列號。系統管理員應該建立新系統的AIDE資料庫。這第一個AIDE資料庫是系統的一個快照和以後系統升級的準繩。這個資料庫不應該儲存那些經常變動的文檔資訊，例如：日誌文檔、郵件、/proc文檔系統、使用者起始目錄連同臨時目錄。

推薦閱讀：

AIDE --Linux進階入侵檢測

Linux伺服器入侵後記錄檔刪除/恢複方法

網路入侵檢測和阻止引擎 Suricata

Snort + Base 入侵檢測配置
 
二.AIDE的下載和安裝
1.由於依賴關係，首先安裝mhash-0.9.9.9.tar.gz
# tar zxvf mhash.tgz
# ./configure
# make
# make install
 
2.安裝aide-0.15-rc1.tar.gz
# tar zxvf aide-0.15-rc1.tar.gz
# ./configure --prefix=/usr/local/aide --with-mhash
# make
# make install
# mkdir -p /usr/local/aide/etc
# cp /root/aide-0.15-rc1/doc/aide.conf /usr/local/aide/etc/
# cp /usr/local/aide/bin/aide /bin/
 
三.修改設定檔
# vim aide.conf
修改資料庫產生路徑：

database=file:/usr/local/aide/aide.db                      #系統鏡像
database_out=file:/usr/local/aide/aide.new.db        #新產生的系統鏡像
 
直接在檔案尾部添加要檢查的目錄或檔案:

/bin R
/sbin R
/usr/bin R
/usr/sbin R
/usr/local/eyou/mail/web/tpl R
/dev/shm R
/opt/apache/htdocs R
/tmp/.ICE-unix R

接下來請看：

1 2 下一頁