微信公众号：centoscn
CentOS安装配置基于主机的入侵检测系统（IDS）
所有系统管理员想要在他们生产服务器上首先要部署的安全手段之一，就是检测文件篡改的机制&&不仅仅是文件内容，而且也包括它们的属性。
AIDE&（&高级入侵检测环境&的简称）是一个开源的基于主机的入侵检测系统。AIDE通过检查大量文件属性的不一致性来检查系统二进制文件和基本配置文件的完整 性，这些文件属性包括权限、文件类型、索引节点、链接数、链接名、用户、组、文件大小、块计数、修改时间、添加时间、创建时间、acl、SELinux安 全上下文、xattrs，以及md5/sha校验值在内的各种特征。
AIDE通过扫描一台（未被篡改）的Linux服务器的文件系统来 构建文件属性数据库，以后将服务器文件属性与数据库中的进行校对，然后在服务器运行时对被修改的索引了的文件发出警告。出于这个原因，AIDE必须在系统 更新后或其配置文件进行合法修改后重新对受保护的文件做索引。
对于某些客户，他们可能会根据他们的安全策略在他们的服务器上强制安装某种入侵检测系统。但是，不管客户是否要求，系统管理员都应该部署一个入侵检测系统，这通常是一个很好的做法。
在 CentOS或RHEL 上安装AIDE
AIDE 的初始安装（同时是首次运行）最好是在系统刚安装完后，并且没有任何服务暴露在互联网甚至局域网时。在这个早期阶段，我们可以将来自外部的一切闯入和破坏 风险降到最低限度。事实上，这也是确保系统在AIDE构建其初始数据库时保持干净的唯一途径。（LCTT 译注：当然，如果你的安装源本身就存在安全隐患，则无法建立可信的数据记录）
出于上面的原因，在安装完系统后，我们可以执行下面的命令安装AIDE：
#&yum&install&aide
我们需要将我们的机器从网络断开，并实施下面所述的一些基本配置任务。
默认配置文件是/etc/aide.conf，该文件介绍了几个示例保护规则（如FIPSR，NORMAL，DIR，DATAONLY），各个规则后面跟着一个等号以及要检查的文件属性列表，或者某些预定义的规则（由+分隔）。你也可以使用此种格式自定义规则。
FIPSR&=&p+i+n+u+g+s+m+c+acl+selinux+xattrs+sha256NORMAL&=&FIPSR+sha512
例 如，上面的例子说明，NORMAL规则将检查下列属性的不一致性：权限（p）、索引节点（i）、链接数（n）、用户（u）、组（g）、大小（s）、修改时 间（m）、创建时间（c）、ACL（acl）、SELinux（selinux）、xattrs（xattr）、SHA256/SHA512校验和 （sha256和sha512）。
定义的规则可灵活地用于不同的目录和文件（用正则表达式表示）。
条目之前的感叹号（！）告诉AIDE忽略子目录（或目录中的文件），对于这些可以另外定义规则。
在 上面的例子中，PERMS是用于/etc机器子目录和文件的默认规则。然而，对于/etc中的备份文件（如/etc/.*~）则不应用任何规则，也没有规 则用于/etc/mtab文件。对于/etc中的其它一些选定的子目录或文件，使用NORMAL规则替代默认规则PERMS。
定义并应用 正确的规则到系统中正确的位置，是使用AIDE最难的一部分，但作一个好的判断是一个良好的开始。作为首要的一条规则，不要检查不必要的属性。例如，检查 /var/log或/var/spool里头的文件的修改时间将导致大量误报，因为许多的应用程序和守护进程经常会写入内容到该位置，而这些内容都没有问 题。此外，检查多个校验值可能会加强安全性，但随之而来的是AIDE的运行时间的增加。
可选的，如果你使用MAILTO变量指定电子邮件地址，就可以将检查结果发送到你的邮箱。将下面这一行放到/etc/aide.conf中的任何位置即可。
MAILTO=root@localhost
首次运行AIDE
运行以下命令来初始化AIDE数据库：
#&aide&--init
根据/etc/aide.conf生成的/var/lib/aide/aide.db.new.gz文件需要被重命名为/var/lib/aide/aide.db.gz，以便AIDE能读取它：
&pre class=&prettyprint &a href=& http:=&& =&& java=&& &=&& target=&_blank& style=&margin-top: 0 margin-bottom: 0 padding-top: 0 padding-right: 0 padding-bottom: 0 padding-left: 0 &&javascript&& # mv /var/lib/aide/aide.db.new.gz /var/lib/aide.db.gz
现在，是时候来将我们的系统与数据库进行第一次校对了。任务很简单，只需运行：
在没有选项时，AIDE假定使用了--check选项。
如果在数据库创建后没有对系统做过任何修改，AIDE将会以OK信息来结束本次校对。
生产环境中管理AIDE
在构建了一个初始AIDE数据库后，作为不断进行的系统管理活动，你常常需要因为某些合法的理由更新受保护的服务器。每次服务器更新后，你必须重新构建AIDE数据库，以更新数据库内容。要完成该任务，请执行以下命令：
#&aide&--update
要使用AIDE保护生产系统，可能最好通过任务计划调用AIDE来周期性检查不一致性。例如，要让AIDE每天运行一次，并将结果发送到邮箱：
#&crontab&-e
0&0&*&*&*&/usr/sbin/aide&--check&|&/usr/bin/mail&-s&&AIDE&run&for&$HOSTNAME&&
测试AIDE检查文件篡改
下面的测试环境将演示AIDE是如何来检查文件的完整性的。
测试环境 1
让我们添加一个新文件（如/etc/fake）。
#&cat&/dev/null&&&/etc/fake
测试环境 2
让我们修改文件权限，然后看看它是否被检测到。
#&chmod&644&/etc/aide.conf
测试环境 3
最后，让我们修改文件内容（如，添加一个注释行到/etc/aide.conf）。
echo&&#This&is&a&comment&&&&&/etc/aide.conf
上面的截图中，第一栏显示了文件的属性，第二栏是AIDE数据库中的值，而第三栏是更新后的值。第三栏中空白部分表示该属性没有改动（如本例中的ACL）。
如果你曾经发现你自己有很好的理由确信系统被入侵了，但是第一眼又不能确定到底哪些东西被改动了，那么像AIDE这样一个基于主机的入侵检测系统就会很有帮助了，因为它可以帮助你很快识别出哪些东西被改动过，而不是通过猜测来浪费宝贵的时间。
本文来自：Debian技术网
本文链接：/centos/9304.html
------分隔线----------------------------君，已阅读到文档的结尾了呢~~
Windows平台下基于主机的入侵检测系统的设计与实现基于,设计,下的,入侵,系统的,与实现,设计与,下基于,和实现
扫扫二维码，随身浏览文档
手机或平板扫扫即可继续访问
Windows平台下基于主机的入侵检测系统的设计与实现
举报该文档为侵权文档。
举报该文档含有违规或不良信息。
反馈该文档无法正常浏览。
举报该文档为重复文档。
推荐理由：
将文档分享至：
分享完整地址
文档地址：
粘贴到BBS或博客
flash地址：
支持嵌入FLASH地址的网站使用
html代码：
&embed src='/DocinViewer-4.swf' width='100%' height='600' type=application/x-shockwave-flash ALLOWFULLSCREEN='true' ALLOWSCRIPTACCESS='always'&&/embed&
450px*300px480px*400px650px*490px
支持嵌入HTML代码的网站使用
您的内容已经提交成功
您所提交的内容需要审核后才能发布，请您等待！
3秒自动关闭窗口在CentOS上配置基于主机的入侵检测系统（IDS）
定义的规则可灵活地用于不同的目录和文件（用正则表达式表示）。
条目之前的感叹号（！）告诉AIDE忽略子目录（或目录中的文件），对于这些可以另外定义规则。
在上面的例子中，PERMS是用于/etc机器子目录和文件的默认规则。然而，对于/etc中的备份文件（如/etc/.*~）则不应用任何规则，也没有规则用于/etc/mtab文件。对于/etc中的其它一些选定的子目录或文件，使用NORMAL规则替代默认规则PERMS。
定义并应用正确的规则到系统中正确的位置，是使用AIDE最难的一部分，但作一个好的判断是一个良好的开始。作为首要的一条规则，不要检查不必要的属性。例如，检查/var/log或/var/spool里头的文件的修改时间将导致大量误报，因为许多的应用程序和守护进程经常会写入内容到该位置，而这些内容都没有问题。此外，检查多个校验值可能会加强安全性，但随之而来的是AIDE的运行时间的增加。
可选的，如果你使用MAILTO变量指定电子邮件地址，就可以将检查结果发送到你的邮箱。将下面这一行放到/etc/aide.conf中的任何位置即可。
MAILTO=root@localhost
首次运行AIDE
运行以下命令来初始化AIDE数据库：
# aide --init
根据/etc/aide.conf生成的/var/lib/aide/aide.db.new.gz文件需要被重命名为/var/lib/aide/aide.db.gz，以便AIDE能读取它：
# mv /var/lib/aide/aide.db.new.gz /var/lib/aide.db.gz
现在，是时候来将我们的系统与数据库进行第一次校对了。任务很简单，只需运行：
在没有选项时，AIDE假定使用了--check选项。
如果在数据库创建后没有对系统做过任何修改，AIDE将会以OK信息来结束本次校对。
生产环境中管理AIDE
在构建了一个初始AIDE数据库后，作为不断进行的系统管理活动，你常常需要因为某些合法的理由更新受保护的服务器。每次服务器更新后，你必须重新构建AIDE数据库，以更新数据库内容。要完成该任务，请执行以下命令：
# aide --update
【声明】:黑吧安全网()登载此文出于传递更多信息之目的，并不代表本站赞同其观点和对其真实性负责，仅适于网络安全技术爱好者学习研究使用，学习中请遵循国家相关法律法规。如有问题请联系我们，联系邮箱，我们会在最短的时间内进行处理。
上一篇：【】【】基于主机系统调用的入侵检测方法研究--《计算机应用与软件》2006年11期
基于主机系统调用的入侵检测方法研究
【摘要】：大多数的入侵行为是由于一系列操作系统内部的非法或异常调用引起的,因此对系统调用序列进行分析是入侵检测的一个重要方法。给出了两种基于系统调用的序列分析方法:基于频繁统计和基于权值树的滑动窗口序列分析方法,并且描述了相应算法的主要过程。并通过试验证明了它们的合理性和有效性。
【作者单位】：
【关键词】：
【基金】：
【分类号】：TP393.08【正文快照】：
1引言随着网络互连技术的发展,计算机系统的安全问题日益突出。目前很多入侵是利用系统中的对外服务程序(ftp服务器等)的安全弱点实现的,针对这些关键程序进行攻击是非法用户入侵系统的主要手段。因此,针对关键程序的入侵检测逐渐成为主机入侵检测的研究重点之一。事实上,系
欢迎：、、)
支持CAJ、PDF文件格式，仅支持PDF格式
【引证文献】
中国硕士学位论文全文数据库
高华;[D];南京理工大学;2007年
【共引文献】
中国期刊全文数据库
高超;王丽君;;[J];鞍山科技大学学报;2006年01期
翟素兰,郑诚,乐毅;[J];微机发展;2004年12期
中国硕士学位论文全文数据库
翟素兰;[D];安徽大学;2005年
王艳;[D];南昌大学;2006年
高志森;[D];南京航空航天大学;2007年
【同被引文献】
中国期刊全文数据库
孙喜晨;贺仁亚;封举富;;[J];北京大学学报(自然科学版);2007年01期
宋世杰,胡华平,胡笑蕾,金士尧;[J];重庆邮电学院学报(自然科学版);2004年01期
蔡罡,冯辉宗;[J];重庆邮电学院学报(自然科学版);2005年01期
王英;邓亚平;曾立梅;;[J];重庆邮电学院学报(自然科学版);2006年02期
吕佳;;[J];重庆师范大学学报(自然科学版);2006年01期
,谢立;[J];电子学报;2003年08期
闫巧,谢维信,宋歌,喻建平;[J];电子学报;2003年10期
张相锋,孙玉芳,赵庆松;[J];电子学报;2004年08期
徐烨;薛质;;[J];信息技术;2005年12期
赵旭;阎威武;邵惠鹤;;[J];化工学报;2007年04期
中国博士学位论文全文数据库
刘刚;[D];铁道部科学研究院;2006年
中国硕士学位论文全文数据库
王峥;[D];太原理工大学;2004年
刘世翔;[D];吉林大学;2004年
林夏;[D];电子科技大学;2004年
刘伟;[D];山东科技大学;2005年
向碧群;[D];重庆大学;2005年
宋平平;[D];合肥工业大学;2006年
魏春英;[D];山东师范大学;2006年
吉磊;[D];上海交通大学;2007年
程拥军;[D];中南大学;2006年
高彩英;[D];浙江工业大学;2007年
【相似文献】
中国期刊全文数据库
吴亮;;[J];软件导刊;2011年06期
荆春伟;李永忠;曹传林;;[J];计算机仿真;2011年07期
张宏萌;黄留然;;[J];中小企业管理与科技(上旬刊);2011年08期
段祥雯;杨兵;张怡;;[J];信息网络安全;2011年07期
闫少华;张巍;滕少华;;[J];计算机工程;2011年18期
何波;;[J];微电子学与计算机;2011年09期
王干;;[J];电脑知识与技术;2011年20期
段祥雯;杨兵;张怡;;[J];计算机安全;2011年07期
段祥雯;肖枫涛;;[J];网络安全技术与应用;2011年07期
吕卓;范磊;;[J];计算机工程;2011年18期
中国重要会议论文全文数据库
王东;王丽娜;董晓梅;于戈;申德荣;;[A];第十九届全国数据库学术会议论文集（技术报告篇）[C];2002年
廖桂平;喻飞;沈岳;张林峰;徐成;;[A];第二十六届中国控制会议论文集[C];2007年
王卉;屈强;;[A];第二十四届中国数据库学术会议论文集（技术报告篇）[C];2007年
周涛;;[A];第二届中国科学院博士后学术年会暨高新技术前沿与发展学术会议程序册[C];2010年
叶颖;严毅;;[A];广西计算机学会——2004年学术年会论文集[C];2004年
李艳辉;李雷;万明;;[A];2010年通信理论与信号处理学术年会论文集[C];2010年
闫耀辉;臧洌;黄同心;;[A];2010通信理论与技术新发展——第十五届全国青年通信学术会议论文集（下册）[C];2010年
王敏;高翔;李宏伟;;[A];首届信息获取与处理学术会议论文集[C];2003年
沈权;;[A];全国第16届计算机科学与技术应用（CACIS）学术会议论文集[C];2004年
陈观林;王泽兵;冯雁;;[A];第六届全国计算机应用联合学术会议论文集[C];2002年
中国重要报纸全文数据库
;[N];中国高新技术产业导报;2001年
;[N];网络世界;2001年
张志刚;[N];中国计算机报;2002年
周阳;[N];中国计算机报;2003年
边歆;[N];网络世界;2010年
[N];电脑报;2001年
;[N];网络世界;2002年
;[N];中国计算机报;2002年
吴凡;[N];网络世界;2009年
启明星辰技术专家
吴凡;[N];计算机世界;2008年
中国博士学位论文全文数据库
马振婴;[D];重庆大学;2010年
郑凯梅;[D];中国矿业大学（北京）;2010年
耿立中;[D];清华大学;2010年
吴静;[D];吉林大学;2010年
赵月爱;[D];太原理工大学;2010年
王飞;[D];南京理工大学;2011年
郭陟;[D];清华大学;2004年
马恒太;[D];中国科学院软件研究所;2001年
王晓锋;[D];华中科技大学;2007年
潘志松;[D];南京航空航天大学;2003年
中国硕士学位论文全文数据库
王瑛;[D];江西理工大学;2010年
林乐平;[D];西安电子科技大学;2005年
王建;[D];武汉理工大学;2010年
肖海明;[D];华北电力大学（河北）;2010年
李盼;[D];华北电力大学（北京）;2011年
张炜;[D];河北工程大学;2011年
颜辉;[D];长春理工大学;2004年
张振兴;[D];河北大学;2011年
林夏;[D];电子科技大学;2004年
谢清森;[D];暨南大学;2010年
&快捷付款方式
&订购知网充值卡
400-819-9993
《中国学术期刊（光盘版）》电子杂志社有限公司
同方知网数字出版技术股份有限公司
地址：北京清华大学 84-48信箱 知识超市公司
出版物经营许可证 新出发京批字第直0595号
订购热线：400-819-82499
服务热线：010--
在线咨询：
传真：010-
京公网安备75号您所在的位置： &
在CentOS上配置基于主机的入侵检测系统（IDS）
在CentOS上配置基于主机的入侵检测系统（IDS）
Gabriel Cánepa
对于某些客户，他们可能会根据他们的安全策略在他们的服务器上强制安装某种入侵检测系统。但是，不管客户是否要求，系统管理员都应该部署一个入侵检测系统，这通常是一个很好的做法。
所有系统管理员想要在他们生产服务器上首先要部署的安全手段之一，就是检测文件篡改的机制&&不仅仅是文件内容，而且也包括它们的属性。
498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="" src="/wyfs02/M02/53/8C/wKioL1Rq5ObToSmGAABfByvRoIM329.jpg" width="512" height="512" />
（&高级入侵检测环境&的简称）是一个开源的基于主机的入侵检测系统。AIDE通过检查大量文件属性的不一致性来检查系统二进制文件和基本配置文件的完整性，这些文件属性包括权限、文件类型、索引节点、链接数、链接名、用户、组、文件大小、块计数、修改时间、添加时间、创建时间、acl、SELinux安全上下文、xattrs，以及md5/sha校验值在内的各种特征。
AIDE通过扫描一台（未被篡改）的Linux服务器的文件系统来构建文件属性数据库，以后将服务器文件属性与数据库中的进行校对，然后在服务器运行时对被修改的索引了的文件发出警告。出于这个原因，AIDE必须在系统更新后或其配置文件进行合法修改后重新对受保护的文件做索引。
对于某些客户，他们可能会根据他们的安全策略在他们的服务器上强制安装某种入侵检测系统。但是，不管客户是否要求，系统管理员都应该部署一个入侵检测系统，这通常是一个很好的做法。
在 CentOS或RHEL 上安装AIDE
AIDE的初始安装（同时是首次运行）最好是在系统刚安装完后，并且没有任何服务暴露在互联网甚至局域网时。在这个早期阶段，我们可以将来自外部的一切闯入和破坏风险降到最低限度。事实上，这也是确保系统在AIDE构建其初始数据库时保持干净的唯一途径。（LCTT 译注：当然，如果你的安装源本身就存在安全隐患，则无法建立可信的数据记录）
出于上面的原因，在安装完系统后，我们可以执行下面的命令安装AIDE：
# yum install aide
我们需要将我们的机器从网络断开，并实施下面所述的一些基本配置任务。
默认配置文件是/etc/aide.conf，该文件介绍了几个示例保护规则（如FIPSR，NORMAL，DIR，DATAONLY），各个规则后面跟着一个等号以及要检查的文件属性列表，或者某些预定义的规则（由+分隔）。你也可以使用此种格式自定义规则。
498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="" src="/wyfs02/M02/53/8E/wKiom1Rq5HHRzNmSAABCz3rr1iU828.jpg" />
FIPSR = p+i+n+u+g+s+m+c+acl+selinux+xattrs+sha256NORMAL = FIPSR+sha512
例如，上面的例子说明，NORMAL规则将检查下列属性的不一致性：权限（p）、索引节点（i）、链接数（n）、用户（u）、组（g）、大小（s）、修改时间（m）、创建时间（c）、ACL（acl）、SELinux（selinux）、xattrs（xattr）、SHA256/SHA512校验和（sha256和sha512）。
定义的规则可灵活地用于不同的目录和文件（用正则表达式表示）。
498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="" src="/wyfs02/M02/53/8E/wKiom1Rq5HGB_emrAABSl_wMPyE218.jpg" />
条目之前的感叹号（！）告诉AIDE忽略子目录（或目录中的文件），对于这些可以另外定义规则。
在上面的例子中，PERMS是用于/etc机器子目录和文件的默认规则。然而，对于/etc中的备份文件（如/etc/.*~）则不应用任何规则，也没有规则用于/etc/mtab文件。对于/etc中的其它一些选定的子目录或文件，使用NORMAL规则替代默认规则PERMS。
定义并应用正确的规则到系统中正确的位置，是使用AIDE最难的一部分，但作一个好的判断是一个良好的开始。作为首要的一条规则，不要检查不必要的属性。例如，检查/var/log或/var/spool里头的文件的修改时间将导致大量误报，因为许多的应用程序和守护进程经常会写入内容到该位置，而这些内容都没有问题。此外，检查多个校验值可能会加强安全性，但随之而来的是AIDE的运行时间的增加。
可选的，如果你使用MAILTO变量指定电子邮件地址，就可以将检查结果发送到你的邮箱。将下面这一行放到/etc/aide.conf中的任何位置即可。
MAILTO=root@localhost
首次运行AIDE
运行以下命令来初始化AIDE数据库：
# aide --init
498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="" src="/wyfs02/M00/53/8C/wKioL1Rq5OfjcwjKAAAd_7x5qnI810.jpg" />
根据/etc/aide.conf生成的/var/lib/aide/aide.db.new.gz文件需要被重命名为/var/lib/aide/aide.db.gz，以便AIDE能读取它：
# mv /var/lib/aide/aide.db.new.gz /var/lib/aide.db.gz
现在，是时候来将我们的系统与数据库进行第一次校对了。任务很简单，只需运行：
在没有选项时，AIDE假定使用了--check选项。
如果在数据库创建后没有对系统做过任何修改，AIDE将会以OK信息来结束本次校对。
498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="" src="/wyfs02/M00/53/8C/wKioL1Rq5OexCubJAAAfVZPPWXQ498.jpg" />
生产环境中管理AIDE
在构建了一个初始AIDE数据库后，作为不断进行的系统管理活动，你常常需要因为某些合法的理由更新受保护的服务器。每次服务器更新后，你必须重新构建AIDE数据库，以更新数据库内容。要完成该任务，请执行以下命令：
# aide --update
要使用AIDE保护生产系统，可能最好通过任务计划调用AIDE来周期性检查不一致性。例如，要让AIDE每天运行一次，并将结果发送到邮箱：
# crontab -e
0 0 * * * /usr/sbin/aide --check | /usr/bin/mail -s &AIDE run for $HOSTNAME& your@email.com
测试AIDE检查文件篡改
下面的测试环境将演示AIDE是如何来检查文件的完整性的。
测试环境 1
让我们添加一个新文件（如/etc/fake）。
# cat /dev/null & /etc/fake
498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="" src="/wyfs02/M00/53/8E/wKiom1Rq5HLjhYF3AABZvd4NPxc514.jpg" />
测试环境 2
让我们修改文件权限，然后看看它是否被检测到。
# chmod 644 /etc/aide.conf
测试环境 3
最后，让我们修改文件内容（如，添加一个注释行到/etc/aide.conf）。
echo &#This is a comment& && /etc/aide.conf
498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="" src="/wyfs02/M00/53/8E/wKiom1Rq5HSRwL5fAACiqOKs3Hg919.jpg" />
上面的截图中，第一栏显示了文件的属性，第二栏是AIDE数据库中的值，而第三栏是更新后的值。第三栏中空白部分表示该属性没有改动（如本例中的ACL）。
如果你曾经发现你自己有很好的理由确信系统被入侵了，但是第一眼又不能确定到底哪些东西被改动了，那么像AIDE这样一个基于主机的入侵检测系统就会很有帮助了，因为它可以帮助你很快识别出哪些东西被改动过，而不是通过猜测来浪费宝贵的时间。
作者： 译者： 校对：【编辑推荐】【责任编辑： TEL：（010）】
关于&&的更多文章
CentOS是Linux发行版之一，它是来自于Red Hat Enterprise Linux
Linux界极具活力，面向不同的用户可以使用不同的Linux发行版，比如适合新手和游戏爱好者等。
讲师： 7人学习过讲师： 67人学习过讲师： 107人学习过
性能监测是系统优化过程中重要的一环，如果没有监测、
OS X Server的Mavericks版本并没有发生这样巨大的变化
近几年，开源业界的创新发展很繁荣，不仅在软件层面，
本书是为那些对Web开发感兴趣的读者而编写的。ASP（Active Server Pages）是微软公司在Web领域的又一次突破，它打破了以往只能由
51CTO旗下网站