AIDE
高级入侵检测环境：是一个入侵检测工具，主要用途是检查文件的完整性，审计计算机上的那些文件被更改过了。
AIDE能够构造一个指定文件的数据库，它使用aide.conf作为其配置文件。AIDE数据库能够保存文件的各种属性，包括：权限(permission)、索引节点序号(inode number)、所属用户(user)、所属用户组(group)、文件大小、最后修改时间(mtime)、创建时间(ctime)、最后访问时间(atime)、增加的大小以及连接数。AIDE还能够使用下列算法：sha1、md5、rmd160、tiger，以密文形式建立每个文件的校验码或散列号。
配置文件：/etc/aide.conf
# These are the default rules. #p: permissions #i: inode: #n: number of links #u: user #g: group #s: size #b: block count #m: mtime #a: atime #c: ctime #S: check for growing size #acl: Access Control Lists #selinux SELinux security context #xattrs: Extended file attributes #md5: md5 checksum #sha1: sha1 checksum #sha256: sha256 checksum #sha512: sha512 checksum #rmd160: rmd160 checksum #tiger: tiger checksum #haval: haval checksum (MHASH only) #gost: gost checksum (MHASH only) #crc32: crc32 checksum (MHASH only) #whirlpool: whirlpool checksum (MHASH only) #R: p+i+n+u+g+s+m+c+acl+selinux+xattrs+md5 #L: p+i+n+u+g+acl+selinux+xattrs #E: Empty group #>: Growing logfile p+u+g+i+n+S+acl+selinux+xattrs
1、安装
# yum install aide
2、配置需要监控的文件夹
[[email protected] ~]# vim /etc/aide.conf /data/* R
3、生成数据库并改名为现在使用的文件名
[[email protected] ~]# cd /var/lib/aide/ [[email protected] aide]# aide --init AIDE, version 0.14 ### AIDE database at /var/lib/aide/aide.db.new.gz initialized. [[email protected] aide]# ls aide.db.new.gz [[email protected] aide]# mv aide.db.new.gz aide.db.gz
4、检查文件完整性，建议将aide数据库存放到安全的地方
# aide --check
5、更新数据库
# aide --update
sudo
能够授权指定用户在指定主机上代表指定用户执行某些指令。
sudo命令
- -V 详细信息
- -u username 代表的用户
- -l 列出用户在主机上可用的命令
- -v 刷新密码时间戳
- -K 删除密码有效期时间戳
- -k 重置时间戳到1970年
- -b 在后台执行指令
- -p 改变询问密码的提示符
- %p 表示用户名
- %h 表示主机名
- -i -u username 切换身份
visudo：编辑/etc/sudoers
-v：检查语法合格性
-f file：编辑文件
配置文件：/etc/sudoers, /etc/sudoers.d/*，支持使用通配符
授权格式：用户 主机=(代表用户) 命令
用户和代表用户：
- username
- #uid
- %group_name
- %#gid
- user_alias|runas_alias
主机：
- ip或hostname
- network(/netmask)
- host_alias
命令：
- command name
- directory
- sudoedit
- Cmnd_Alias
root ALL=(ALL) ALL #系统默认为root用户开的后门，root用户可以在任意主机上以任意用户的身份执行任意操作
别名：
类型：User_Alias, Runas_Alias, Host_Alias ，Cmnd_Alias
格式：必须以大小的A-Z开头，中间可以是大小的A-Z，数字和下划线
[[email protected] sudoers.d]# visudo -f netadmin User_Alias NETADMIN = user1,user2,user3 Cmnd_Alias NETCMD = /sbin/ip,/sbin/route,/sbin/ifconfig,/bin/netstat,/usr/sbin/ss Host_Alias HOST = 192.168.0.6 Runas_Alias OP = root NETADMIN HOST=(OP) NETCMD
日志文件：/var/log/secure
*注意
user4 ALL=(root) /bin/cat /var/log/messages*
这样授权是错误的，以下命令也可以执行
# /bin/cat /var/log/messages /etc/shadow
所以我们如果想实现这样的需求就需要按照以下这样的写法：
dongfei ALL=(root) /bin/cat /var/log/messages*,!/bin/cat /var/log/messages* *
[[email protected] ~]$ sudo cat /var/log/messages /etc/shadow Sorry, user dongfei is not allowed to execute ‘/bin/cat /var/log/messages /etc/shadow‘ as root on centos6.
TCP_Wrappers
作者：Wieste Venema
简介：工作在第四层（传输层）的TCP协议，对有状态连接的特定服务进行安全检测并实现访问控制；某进程是否接受libwrap的控制取决于发起此进程的程序在编译时是否针对libwrap进行编译。
检查sshd服务是否能够被TCP_Wrappers控制
[[email protected] ~]$ which sshd
/usr/sbin/sshd
[[email protected] ~]$ ldd /usr/sbin/sshd |grep libwrap.so
libwrap.so.0 => /lib64/libwrap.so.0 (0x00007f61ba6aa000) #sshd服务依赖libwrap.so库，可以被控制
配置文件：/etc/hosts.allow（白名单）, /etc/hosts.deny（黑名单）
规则：先检查白名单，如果被白名单匹配则允许访问；如果白名单没有匹配到则交给黑名单匹配，如果匹配则拒绝；如果都没有匹配到则使用默认策略（默认允许）。
配置语法：服务列表@主机IP：客户端地址列表 [:选项]
服务列表@主机IP：
- 单个应用程序的二进制文件名，而非服务名，例如vsftpd
- 以逗号或空格分隔的应用程序文件名列表，如:sshd,vsftpd
- ALL表示所有接受tcp_wrapper控制的服务程序
- 主机有多个IP，可用@hostIP来实现控制
客户端列表：
- 以逗号或空格分隔的客户端列表
- 基于IP地址：192.168.10.1 192.168.1.
- 基于主机名：www.magedu.com .magedu.com 较少用
- 基于网络/掩码：192.168.0.0/255.255.255.0
- 基于net/prefixlen: 192.168.1.0/24（CentOS7）
- 基于网络组（NIS 域）：@mynetwork
- 内置ACL：ALL，LOCAL，KNOWN，UNKNOWN，PARANOID
- ALL 表示所有主机
- LOACAL 表示本地网络，匹配任何主机名中不带"."的主机
- UNKNOWN 不能将主机名解析为IP
- KNOWN 能将主机名解析为IP
- EXCEPT 排除
选项：
- deny 拒绝
- spawn 触发一个操作
- twist 实际动作是拒绝访问,使用指定的操作替换当前服务,标准I/O和ERROR发送到客户端,默认至/dev/null
tcpdmatch：在本地测试
tcpdmatch [-d] daemon[@host] client
-d 测试当前目录下的hosts.allow和hosts.deny
[[email protected] data]# cat hosts.allow [[email protected] data]# cat hosts.deny sshd:192.168.0.7 [[email protected] data]# tcpdmatch -d sshd 192.168.0.7 #如果客户端是192.168.0.7是否可以访问本机的sshd服务 client: address 192.168.0.7 server: process sshd access: denied（拒绝） [[email protected] data]# tcpdmatch -d sshd 192.168.0.8 client: address 192.168.0.8 server: process sshd access: granted
PAM
它提供了对所有服务进行认证的中央机制，适用于login，远程登录（telnet,rlogin,fsh,ftp,点对点协议（PPP）），su等应用程序中。系统管理员通过PAM配置文件来制定不同应用程序的不同认证策略；应用程序开发者通过在服务程序中使用PAM API(pam_xxxx( ))来实现对认证方法的调用；而PAM服务模块的开发者则利用PAM SPI来编写模块（主要是引出一些函数pam_sm_xxxx( )供PAM接口库调用），将不同的认证机制加入到系统中；PAM接口库（libpam）则读取配置文件，将应用程序和相应的PAM服务模块联系起来。
模块文件目录：/lib64/security/*.so
环境相关的设置：/etc/security/
主配置文件:/etc/pam.conf，默认不存在
为每种应用模块提供一个专用的配置文件：/etc/pam.d/*
PAM认证过程：
- 使用者执行/usr/bin/passwd 程序，并输入密码
- passwd开始调用PAM模块，PAM模块会搜寻passwd程序的PAM相关设置文件，这个设置文件一般是在/etc/pam.d/里边的与程序同名的文件，即PAM会搜寻/etc/pam.d/passwd此设置文件
- 经由/etc/pam.d/passwd设定文件的数据，取用PAM所提供的相关模块来进行验证
- 将验证结果回传给passwd这个程序，而passwd这个程序会根据PAM回传的结果决定下一个动作（重新输入密码或者通过验证）
专用配置文件/etc/pam.d/*格式
module-type control module-path arguments
- 模块类型（module-type）
- Auth 账号的认证和授权
- Account 与账号管理相关的非认证类的功能，如：用来限制/允许用户对某个服务的访问时间，当前有效的系统资源(最多可以有多少个用户)，限制用户的位置(例如：root用户只能从控制台登录)
- Password 用户修改密码时密码复杂度检查机制等功能
- Session 用户获取到服务之前或使用服务完成之后需要进行一些附加的操作，如：记录打开/关闭数据的信息，监视目录等
- -type 表示因为缺失而不能加载的模块将不记录到系统日志,对于那些不总是安装在系统上的模块有用
- control PAM库该如何处理与该服务相关的PAM模块的成功或失败情况
- required ：一票否决，表示本模块必须返回成功才能通过认证，但是如果该模块返回失败，失败结果也不会立即通知用户，而是要等到同一type中的所有模块全部执行完毕再将失败结果返回给应用程序。即为必要条件
- requisite ：一票否决，该模块必须返回成功才能通过认证，但是一旦该模块返回失败，将不再执行同一type内的任何模块，而是直接将控制权返回给应用程序。是一个必要条件
- sufficient ：一票通过，表明本模块返回成功则通过身份认证的要求，不必再执行同一type内的其它模块，但如果本模块返回失败可忽略，即为充分条件
- optional ：表明本模块是可选的，它的成功与否不会对身份认证起关键作用，其返回值一般被忽略
- include： 调用其他的配置文件中定义的配置信息
- module-path 用来指明本模块对应的程序文件的路径名
- /lib64/security目录下的模块可使用相对路径
- Arguments 用来传递给该模块的参数
pam_shells模块
pam_securetty.so模块
pam_nologin.so模块
pam_limits.so模块
个人学习笔记
原文地址：https://www.cnblogs.com/L-dongf/p/9070770.html