Säkerhet för att upptäcka inkräktare genom att analysera Linux -fingeravtryck

Servrar och datorer utsätts ständigt för attacker från virus, hackare eller människor som vill spionera på information. Att bli hackad eller ha sårbarheter är något som de flesta datoranvändare och server- och nätverksadministratörer fruktar.
Det första vi måste veta är vilka filer som skapar loggar över de åtgärder som utförs på systemet. Några av dem är:

• En viktig logg är utpm, som registrerar de användare som använder systemet medan de är anslutna till servern. Vi hittar den i katalogen:

/ var / adm / utmp Y / etc / utmp

• Ett snabbt sätt att visa dina loggar är från terminalfönstret med kommandot quien som listar innehållet i utmp.

• Loggen wtmp Den ansvarar för att registrera sig i en logg varje gång en användare går in i systemet eller lämnar systemet. Det finns i katalogerna / var / adm / wtmp och / etc / wtmp. Det kan också listas med kommandot:

vem / usr / adm / wtmp

Kommandot sista komm visar de senaste kommandona som utförs av någon på systemet. Det här kommandot är endast tillgängligt om du har processer igång. För att kunna använda det måste vi installera ett litet program som heter acct som finns i arkiv för alla Linux distribution.

apt-get installera acct

Vi kan också söka efter filer som har ändrats inom en känd tid, till exempel:
Visa modifierade filer för 10 minuter sedan

hitta -mmin +10

Visa modifierade filer äldre än en dag

hitta -mtime +1

Visa modifierade filer inom 5-10 minuter

hitta -mmin +5 -mmin -10

Kontrollera alltid att de tjänster som körs när servern eller datorn startar är de som vi har definierat i filen /etc/inetd.conf
Vi kan också använda ett ID eller intrångsdetekteringssystem, det är ett säkerhetsverktyg som försöker upptäcka eller övervaka händelser som uppstår i ett visst datorsystem eller datanätverk på jakt efter försök att äventyra systemets säkerhet.
Ett intrångsdetekteringssystem är, Fnysa det är en paketsniffer och en intrångsdetektor fungerar för både Linux och Windows. Ett annat verktyg är AIDE (Advanced Intrusion Detection Environment) är en fil- och katalogintegritetskontroll.
Fnysa den kan hittas komplett i en annan handledning. Låt oss se hur du installerar Aide. Det är denna applikation som gör det möjligt att ta en uppfattning om tillståndet för filsystemens integritet i Linux och hjälper till att identifiera vilka filer som har ändrats i deras integritet sedan installationen.

 sudo apt-get uppdatering sudo apt-get install aide 

Det finns två konfigurationsfiler:

 / etc / default / aide Den allmänna AIDE -konfigurationsfilen. /etc/aide/aide.conf AIDE -reglerna konfigurationsfil. 

 sudo touch /var/lib/aide/aide.db 

Sedan kan vi kontrollera systemet med följande kommando:

sudo aide -init

Vi kan också kontrollera ändrade filer med följande kommando:

sudo aide --check