Einführung
AIDE (Advanced Intrusion Detection Environment) ist ein Open-Source-Tool zur Überprüfung der Datei- und Verzeichnisintegrität. Es soll Administratoren dabei helfen, ihre Systeme auf nicht autorisierte Änderungen zu überwachen. AIDE kann verwendet werden, um Änderungen an Systemdateien, Konfigurationsdateien und sogar Protokolldateien zu erkennen.
In diesem Tutorial zeigen wir Ihnen, wie Sie AIDE installieren und damit Integritätsprüfungen auf Ihrem Linux-System durchführen. Für dieses Tutorial verwenden wir RHEL/CentOS 7/8, die Schritte sollten jedoch für andere Linux-Distributionen ähnlich sein.
Schritt 1:AIDE installieren
Der erste Schritt besteht darin, AIDE zu installieren. Unter RHEL/CentOS 7/8 können Sie AIDE mit dem yum-Paketmanager installieren:
„
Lecker Installationshelfer
„
Schritt 2:Erstellen Sie eine AIDE-Datenbank
Sobald AIDE installiert ist, müssen Sie eine erste Datenbank der Dateien und Verzeichnisse erstellen, die Sie überwachen möchten. Dies kann mit dem folgenden Befehl erfolgen:
„
aideinit --config /etc/aide/aide.conf
„
Der Befehl „aideinit“ scannt Ihr System und erstellt eine Datenbank aller gefundenen Dateien und Verzeichnisse. Diese Datenbank wird in der Datei „/var/lib/aide/aide.db“ gespeichert.
Schritt 3:AIDE konfigurieren
Der nächste Schritt besteht darin, AIDE zu konfigurieren. Die Hauptkonfigurationsdatei für AIDE ist „/etc/aide/aide.conf“. Diese Datei enthält Einstellungen wie den Pfad zur AIDE-Datenbank, die Häufigkeit der Überprüfungen und die E-Mail-Adresse, die im Falle einer Warnung benachrichtigt werden soll.
Standardmäßig ist AIDE so konfiguriert, dass die Dateien und Verzeichnisse in den Verzeichnissen „/etc“ und „/usr/local“ überprüft werden. Sie können dieser Liste Verzeichnisse hinzufügen oder daraus entfernen, indem Sie die Datei „/etc/aide/aide.conf“ bearbeiten.
Schritt 4:AIDE ausführen
Sobald AIDE konfiguriert ist, können Sie es ausführen, um eine Integritätsprüfung durchzuführen. Dies kann mit dem folgenden Befehl erfolgen:
„
aide -c /etc/aide/aide.conf
„
Der Befehl „aide“ vergleicht den aktuellen Status der Dateien und Verzeichnisse in Ihrem System mit der zuvor erstellten Datenbank. Wenn Änderungen festgestellt werden, generiert AIDE eine Warnung.
Schritt 5:Warnungen überwachen
AIDE kann E-Mail-Benachrichtigungen an eine angegebene E-Mail-Adresse senden, wenn eine Warnung generiert wird. Sie können die E-Mail-Adresse in der Datei „/etc/aide/aide.conf“ konfigurieren.
Sie können auch die AIDE-Protokolle auf Warnungen überprüfen. Die AIDE-Protokolle befinden sich im Verzeichnis „/var/log/aide“.
Schlussfolgerung
AIDE ist ein leistungsstarkes Tool, das Ihnen helfen kann, Ihr System vor unbefugten Änderungen zu schützen. Mit AIDE können Sie Ihr System auf Änderungen überwachen und Maßnahmen ergreifen, wenn Warnungen generiert werden.
