2006
AIDE: Host-basiertes IDS
Was ist Aide:
Eindringlinge an ihren Spuren erkennen – das ist das Ziel des Advanced Intrusion Detection Environment. In einer Datenbank hinterlegt AIDE die Attribute und kryptographischen Prüfsummen wichtiger Files und Verzeichnisse. So bemerkt es jede nicht autorisierte Änderung und schlägt Alarm.
Eine Konfigurationsdatei bestimmt, welche Datei- und Ordner-Attribute AIDE in seiner Datenbank speichern soll. Diese Datenbank legt den Soll-Zustand fest.Ausserdem berechnet das System kryptographische Checksummen der zu überprüfenden Objekte und speichert diese ebenfalls. Die Soll-Datenbank muss einen sicheren Zustand beschreiben. Das gelingt am ehesten bei einer frischen Betriebssysteminstallation, deren Files aus einer vertrauenswürdigen Quelle stammen.
Der Admin kann in der Folgezeit AIDE beliebig häufig aufrufen und den Ist-Zustand mit der Soll-Datenbank vergleichen lassen. Nach einem Einbruch installieren Angreifer häufig so genannte Rootkits, die ihnen uneingeschränkten Zugang zum System geben und sicherstellen, dass sie jederzeit erneut einbrechen können. Dazu ersetzen oder manipulieren Rootkits vorhandene Dateien. Ohne IDS fällt dieser Eingriff kaum auf, da die Ersatzprogramme äusserlich dem Original meist exakt gleichen. Ihre Zusatzfunktion ist gut versteckt und verhindert, dass Admins den Eindringling bemerken.
Vorbereitung:
Das Kommando »aide –init« erzeugt die Soll-Datenbank und schreibt sie in das Verzeichnis »/var/lib/aide«. Es ist ratsam, die Datenbank sowie die Konfigurationsdatei an einen sicheren Ort zu kopieren, beispielsweise auf eine CD. Ein Angreifer darf diese Files nicht manipulieren können.
ACHTUNG: Der Report kann als “stdout” oder als “file” gespeichert werden
[aide.conf] report_url=stdout oder report_url=file:/home/admin/report_aide.txt
Vergleiche anstellen:
Ist die Konfiguration erfolgreich abgeschlossen, beginnt »aide –check« mit dem Ãœberprüfen des Systems. Es bietet sich an, dieses Kommando regelmässig per Cron zu starten. AIDE liest die Datenbank und vergleicht sie mit dem Ist-Zustand der Dateien und Verzeichnisse.
powered by performancing firefox
