入侵检测

转自 http://linuxart.blog.51cto.com/686203/844011

使用iptables进行轻量级别的防护。

 limit模块

  限制单位时间内，机器所能承受最大并发量。

演示limit的例子

# iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 1 -j ACCEPT

# iptables -A INPUT -p icmp -j DROP

结合http协议

# iptables -A INPUT -p tcp --dport 80 -m limit --limit 10000/s --limit-burst 10000 -j ACCEPT

# iptables -A INPUT -p tcp --dport 80 -j DROP

 缺点：不会根据IP来进行限制，仅仅是对所有的请求进行统计从而实现限制。

connlimit模块

 限制单个IP与服务器最多建立的连接数。

安装模块：

 patch-o-matic-ng-20090507.zip

使用例子：

 限制当个IP只能和服务器最多建立16个连接

# iptables -A INPUT -p tcp --syn  --dport 80 -m connlimit --connlimit-above 16 -j DROP

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

硬盘加密

 11.jpg ---> ext3 --> sda1 

 11.jpg --> ext3 ---> 加密层 --> sda1

 sda1 ---> 解密 --> ext3 --> 11.jpg

cryptsetup工具加密硬盘数据

1、新建一个分区（使用现有分区，原有的数据就会完全丢失）

2、对需要加密的分区进行初始化

# cryptsetup --verbose --verify-passphrase -c aes-cbc-plain luksFormat /dev/sda9

WARNING!

========

This will overwrite data on /dev/sda9 irrevocably.

Are you sure? (Type uppercase yes): YES

Enter LUKS passphrase:

Verify passphrase:

Command successful.

3、加密完成之后，每次使用都需要把映射出来的加密设备打开，去操作该设备。

# cryptsetup luksOpen /dev/sda9 sda9_crypt

Enter LUKS passphrase for /dev/sda9:

key slot 0 unlocked.

 生成了一个映射的设备 sda9_crypt

 数据----> ext3 ---> sda9_crypt ----加密处理----> /dev/sda9

# ll /dev/mapper/sda9_crypt

4、格式化后存放数据。

# mkfs.ext3 /dev/mapper/sda9_crypt

# mount /dev/mapper/sda9_crypt  /mnt

5、取消挂载，关闭加密的分区

# umount /dev/mapper/sda9_crypt

# cryptsetup luksClose sda9_crypt

修改密码：

 新增加一个密码

# cryptsetup luksAddKey /dev/sda9

Enter any LUKS passphrase:   《－－旧密码

Verify passphrase:  再次确认

Enter new passphrase for key slot:  《－－新密码

Verify passphrase:  

 删除旧密码，必须保留至少一个密码

# cryptsetup luksDelKey /dev/sda9 0  《－－－ 0是密码slot编号

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

基于主机的入侵检测软件（HIDS）

 工作原理：

  监控系统重要文件的变更。

rpm工具

# rpm -Vf /etc/httpd/conf/httpd.conf

S.5....T  c /etc/httpd/conf/httpd.conf

       S file Size differs

       M Mode differs (includes permissions and file type)

       5 MD5 sum differs

       D Device major/minor number mismatch

       L readLink(2) path mismatch

       U User ownership differs

       G Group ownership differs

       T mTime differs

只支持由rpm包释放出来的文件

tripwire

1、安装

# rpm -ivh tripwire-2.4.1.1-1.el5.i386.rpm

2、配置

# cd /etc/tripwire/

# ls

twcfg.txt  twpol.txt

修改策略

# man twpolicy

            -     Ignore the following properties

            +     Record and check the following properties

            a     Access timestamp

            b     Number of blocks allocated

            c     Inode timestamp (create/modify)

            d     ID of device on which inode resides

            g     File owner’s group ID

            i     Inode number

            l     File is increasing in size (a "growing file")

            m     Modification timestamp

            n     Number of links (inode reference count)

            p     Permissions and file mode bits

            r     ID of device pointed to by inode

                  (valid only for device objects)

            s     File size

            t     File type

            u     File owner’s user ID

            C     CRC-32 hash value

            H     Haval hash value

            M     MD5 hash value

            S     SHA hash value

# vim twpol.txt

定一个简单的策略

(

  rulename = "webroot check",

  severity = $(SIG_HI)

)

{

  /share/08/                            ->$(SEC_CRIT);

  !/share/08/sec_01;

  !/share/08/ula_05.txt;

}

3、生成密钥

# /usr/sbin/tripwire-setup-keyfiles

分别输入sitekey 私钥，localkey公钥密码

还有把策略文件和配置文件进行签名

tw.cfg ， tw.pol

4、初始化系统文件的状态数据，保存到数据文件中

# tripwire --init

...

Wrote database file: /var/lib/tripwire/dev.upl.com.twd

The database was successfully generated.

5、测试

根据策略的规则进行检查

# tripwire --check --rule-name "webroot check"

Performing integrity check...

Wrote report file: /var/lib/tripwire/report/dev.upl.com-20110831-153115.twr

....

查看报告文件

# twprint --print-report --twrfile /var/lib/tripwire/report/dev.upl.com-20110831-153115.twr

检查所有文件：

# tripwire --check 

Wrote report file: /var/lib/tripwire/report/dev.upl.com-20110831-154224.tw

报告中，有很多文件是不存在，会出现报错，还有一些文件被修改了但这些文件你认为正常的修改操作，不想在下一次检测中再次出现警告，应该数据文件，把这些更改的操作纳入数据文件中：

# LANG=C tripwire --update --twrfile /var/lib/tripwire/report/dev.upl.com-20110831-154224.twr

Added:

[x] "/share/08/sec_05/DedecmsV55-UTF8-Final.tar.gz"

Removed:

[x] "/share/08/11.txt"

Modified:

[x] "/share/08"

[x] "/share/08/sec_05"  《－－－保留x，就说明要把该文件的最新状态更新到数据库

   《－－哪些文件是正常的修改操作，就应该保留x