在CentOS6.5上配置基于主机的入侵检测系统（IDS）

项目背景：

AIDE （“高级入侵检测环境”的简称）是一个开源的基于主机的入侵检测系统。AIDE通过检查大量文件属性的不一致性来检查系统二进制文件和基本配置文件的完整性，这些文件属性包括权限、文件类型、索引节点、链接数、链接名、用户、组、文件大小、块计数、修改时间、添加时间、创建时间、acl、SELinux安全上下文、xattrs，以及md5/sha校验值在内的各种特征。

AIDE通过扫描一台（未被篡改）的Linux服务器的文件系统来构建文件属性数据库，以后将服务器文件属性与数据库中的进行校对，然后在服务器运行时对被修改的索引了的文件发出警告。出于这个原因，AIDE必须在系统更新后或其配置文件进行合法修改后重新对受保护的文件做索引。

实验环境：

vmware workstation 11

centos6.5的系统下

服务器：ip：192.168.0.57

aide-0.14-7.el6.x86_64

SecureCRT （ssh远程连接软件）

通常我们需要在刚装好的系统上，干净的环境！

实验流程

一、软件下载

[[email protected] ~]# yum install aide -y

二、软件下载成功以后网络关闭

[[email protected] ~]# service network stop

三、AIDE数据库初始化

[[email protected] Desktop]# aide --init

AIDE, version 0.14

### AIDE database at /var/lib/aide/aide.db.new.gz initialized.

四、数据库文件重命名，不然的话AIDE读不出来

[[email protected] Desktop]# mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

五、软件检查

直接在命令行输入aide （输入以后得等很久~~~~）

[[email protected] Desktop]# aide

AIDE found differences between database and filesystem!!

Start timestamp: 2016-03-22 03:09:05

Summary:

Total number of files: 85618

Added files: 0

Removed files: 0

Changed files: 39

---------------------------------------------------

Changed files:

---------------------------------------------------

changed: /usr/sbin

changed: /usr/libexec

changed: /usr/libexec/openssh

changed: /usr/libexec/gnome-screensaver

changed: /usr/libexec/awk

changed: /usr/libexec/gcc/x86_64-redhat-linux/4.4.4

changed: /usr/libexec/gnome-applets

changed: /usr/libexec/gstreamer-0.10

changed: /usr/libexec/file-roller

changed: /usr/libexec/polkit-1

changed: /usr/libexec/utempter

changed: /usr/libexec/pulse

changed: /usr/libexec/getconf

changed: /usr/libexec/webkitgtk

changed: /usr/lib/cups/driver

changed: /usr/lib/cups/filter

changed: /usr/lib64

changed: /usr/lib64/nspluginwrapper

changed: /usr/lib64/vte

changed: /usr/lib64/firefox

changed: /usr/lib64/seahorse

changed: /usr/lib64/pm-utils/bin

changed: /usr/lib64/udev

changed: /usr/lib64/gnome-session/helpers

changed: /usr/lib64/nss/unsupported-tools

changed: /usr/lib64/libv4l

changed: /usr/lib64/libgphoto2

changed: /usr/lib64/festival/etc

changed: /usr/lib64/perl5/CORE

changed: /usr/lib64/sa

changed: /usr/lib64/xulrunner

changed: /usr/lib64/gthumb

changed: /usr/lib64/hal/scripts

changed: /usr/bin

changed: /lib/udev

changed: /lib64

changed: /lib64/dbus-1

changed: /bin

changed: /sbin

--------------------------------------------------

Detailed information about changes:

---------------------------------------------------

Directory: /usr/sbin

Mtime : 2016-03-22 02:44:18 , 2016-03-22 02:57:45

Ctime : 2016-03-22 02:44:18 , 2016-03-22 02:57:45

Directory: /usr/libexec

Mtime : 2016-03-22 02:44:34 , 2016-03-22 02:58:06

Ctime : 2016-03-22 02:44:34 , 2016-03-22 02:58:06

Directory: /usr/libexec/openssh

Mtime : 2016-03-22 02:44:35 , 2016-03-22 02:58:06

Ctime : 2016-03-22 02:44:35 , 2016-03-22 02:58:06

Directory: /usr/libexec/gnome-screensaver

Mtime : 2016-03-22 02:44:35 , 2016-03-22 02:58:07

Ctime : 2016-03-22 02:44:35 , 2016-03-22 02:58:07

Directory: /usr/libexec/awk

Mtime : 2016-03-22 02:44:35 , 2016-03-22 02:58:07

Ctime : 2016-03-22 02:44:35 , 2016-03-22 02:58:07

Directory: /usr/libexec/gcc/x86_64-redhat-linux/4.4.4