AIDE、sudo、TCP_Wrappers的基本使用

一、AIDE的作用

AIDE(Adevanced Intrusion Detection Environment) 高级非法***检测环境，是一个检测工具，主要用途是检查文件的完整性，当一个非法用户者进入了你的系统并且种植了病毒，通常会想办法来隐蔽这个病毒（除了自身的一些隐蔽特性外，他会尽量给你检查系统的过程设置障碍），通常会修改一些文件，比如管理员通常用ps -aux 来查看系统进程，那么很可能用自己经过修改的ps程序来替换掉你系统上的ps程序，以使用ps命令查不到正在运行的病毒程序。如果发现管理员正在运行crontab作业，也有可能替换掉crontab程序等，AIDE是一款免费的但功能也很强大的工具，主要就是审计计算机上的哪些文件被更改过。

AIDE能够构造一个指定文件的数据库，它使用aide.conf作为其配置文件。 AIDE数据库能够保存文件的各种属性，包括：权限(permission)、索引节点序号(inode number)、所属用户(user)、所属用户组(group)、文件大小、最后修改时间(mtime)、创建时间(ctime)、最后访问时间(atime)、增加的大小以及连接数。AIDE还能够使用下列算法：sha1、md5、rmd160、tiger，以密文形式建立每个文件的校验码或散列号。

注：rpm -V 也可以查看文件的修改状况，但是查看的信息不如AIDE的详细，且rpm -V 只能查看rpm包的信息。

二、安装AIDE

1、AIDE系统默认未被安装，需要通过手动安装：yum install aide

2、修改配置文件：vim /etc/aide.conf，该文件规定了一些默认规则，和设置的策略。

默认规则： # These are the default rules.

#p: permissions

#i: inode:

#n: number of links

#u: user

#g: group

#s: size

#b: block count

#m: mtime

#a: atime

#c: ctime

#S: check for growing size

#acl: Access Control Lists

#selinux SELinux security context

#xattrs: Extended file attributes

#md5: md5 checksum

#sha1: sha1 checksum

#sha256: sha256 checksum

#sha512: sha512 checksum

#rmd160: rmd160 checksum

#tiger: tiger checksum

在配置文件中添加一条策略：策略名=默认规则，如下图。

为需要检测的文件添加该策略：文件名策略名；若是某些文件不需要检测需要在前加！，如下图：！/usr/src

3、在/app目录下做一些修改操作后：aide --init/aide -i生成数据库（/var/lib/aide下）。

4、查看文件做了哪些修改操作 ,在该实验中提前修改/app/file1、file2、file3的数据：aide -C进行校验不同，查看修改的信息，会发现只显示file1和file2的数据发生了改变，而file3的数据更改后未被提示，这是因为在aide.conf文件中设置成不检测该文件。

更新数据库，会重新生成一会数据库，但结果不会覆盖原数据：aide -u 需要手动修改。

三、sudo

sudo系统管理指令，是允许系统管理员让普通用户执行一些或者全部的root命令的一个工具。减少root用户的登录和管理时间，同时也提高了安全性。sudo不是对shell的一个代替，它是面向每个命令的。sudo能够授权指定用户在指定主机上运行某些命令。如果未授权用户尝试使用sudo，会提示x联系管理员。sudo可以提供日志，记录每个用户使用sudo操作。sudo为系统管理员提供配置文件，允许系统管理员集中地管理用户的使用权限和使用的主机。

通过visudo命令编辑主配置文件，且具有语法检查功能。