Configurar AIDE en CentOS 6

• Paso 1: Instalación de AIDE
• Paso 2: Configurar AIDE
• Conclusión

Una vez que haya asegurado su servidor con tareas rutinarias como cambiar su puerto SSH y establecer reglas de firewall, estará más que seguro. Sin embargo, existe la posibilidad de que un atacante obtenga acceso a su servidor. Cuando esto sucede, su próxima defensa es aprender cuándo se modifican los archivos en su servidor. Con AIDE, se le notifica cuando se modifican ciertos archivos en su servidor.

Este artículo le enseñará cómo instalar AIDE para proteger mejor su servidor en CentOS 6.

Paso 1: Instalación de AIDE

Instalar el software es bastante simple. Simplemente ejecute el siguiente comando como usuario root:

yum install -y aide

Eso es todo lo que necesita hacer para la instalación.

Paso 2: Configurar AIDE

Esta es la parte más difícil. Para que AIDE funcione, necesitamos compilar una base de datos de carpetas / archivos sobre los que queremos notificaciones. Utilizaremos los valores predeterminados de AIDE. Configurar el monitoreo en carpetas / archivos específicos está fuera del alcance de este tutorial. Consulte la documentación de AIDE si necesita ese tipo de configuración.

Primero, necesitamos inicializar AIDE. Ejecute el siguiente comando como root:

aide --init

Eso creará la base de datos por primera vez. Luego, ejecute estos comandos como root:

cd /var/lib/aide
mv aide.db.new.gz aide.db.gz

Desafortunadamente, este paso es obligatorio ya que AIDE no funcionará sin él.

Necesitamos que AIDE también inspeccione nuestros archivos por primera vez, así que ejecute estos comandos como root:

aide --check
aide --update

Regrese al /var/lib/aidedirectorio y debería encontrar otra nueva base de datos. Elimine el primero sin la nueva parte en el nombre del archivo, ejecutando:

rm aide.db.gz

Mover sobre la nueva base de datos:

mv aide.db.new.gz aide.db.gz

Como la configuración predeterminada ya se ajusta a la mayoría de nuestros archivos, deberíamos usarla. Todo lo que queda es que AIDE le envíe un correo electrónico si hay cambios no autorizados. Para este artículo, utilizaremos nano como nuestro editor de texto.

nano /etc/crontab

Encuentre la sección con MAILTO=rooty cambie roota su dirección de correo electrónico. Entonces corre:

crontab -e

Agregue esto al archivo:

0 1 * * * /usr/sbin/aide --check

Esto hará que AIDE compruebe y le envíe un correo electrónico una vez al día si detecta que se ha modificado un archivo.

Conclusión

Esto garantiza su seguridad en la mayoría de los casos; sin embargo, debe actualizar la base de datos cada vez que modifique los archivos del sistema, o cualquier cosa en su directorio web. Si un atacante coloca malware en su sistema, AIDE le notificará dónde está y podrá desinfectar su sistema.