簡介Linux中的IDS入侵檢測工具

如果我們應用電腦，使用的是Linux操作系統。對你而言花費大量的工夫仔細審查系統的弱點和問題是完全可能的�？赡苣悴⒉徽娴孟Ｍ�這樣，但卻有此可能。這就需要IDS入侵檢測工具。簡單介紹幾款Linux下的IDS入侵檢測工具 psad、Apparmor、SELinuxu等.在之前的文章里也曾對入侵檢測系統簡介進行過介紹 。我們可以先去了解一下入侵檢測系統原理和實踐。

在現代，機器上的任何用戶賬戶都有可能被用來作惡。筆者認為，將全部的重點都放在保護root上，就好像其它用戶賬戶不重要一樣，這是Linux和Unix安全中一個長期存在的、慢性的弱點問題。一次簡單的重裝可以替換受損的系統文件，不過數據文件怎么辦?任何入侵都擁有造成大量破壞的潛力。事實上，要散布垃圾郵件、復制敏感文件、提供虛假的音樂或電影文件、對其它系統發動攻擊，根本就不需要獲得對root的訪問。

IDS新寵：PSAD

Psad是端口掃描攻擊檢測程序的簡稱，它作為一個新工具，可以與iptables和Snort等緊密合作，向我們展示所有試圖進入網絡的惡意企圖。這是筆者首選的Linux入侵檢測系統。它使用了許多snort工具，它可以與fwsnort和iptables的日志結合使用，意味著你甚至可以深入到應用層并執行一些內容分析。它可以像Nmap一樣執行數據包頭部的分析，向用戶發出警告，甚至可以對其進行配置以便于自動阻止可疑的IP地址。

事實上，任何入侵檢測系統的一個關鍵方面是捕獲并分析大量的數據。如果不這樣做，那只能是盲目亂來，并不能真正有效地調整IDS。我們可以將PSAD的數據導出到AfterGlow 和 Gnuplot中，從而可以知道到底是誰正在攻擊防火墻，而且是以一種很友好的界面展示。

老當益壯：Snort

正如一位可信任的老人，隨著年齡的增長，Snort也愈發成熟。它是一款輕量級且易于使用的工具，可以獨立運行，也可以與psad和iptables一起使用。我們可以從Linux的發行版本的程序庫中找到并安裝它，比起過去的源代碼安裝這應該是一個很大的進步。至于保持其規則的更新問題，也是同樣的簡單，因為作為Snort的規則更新程序和管理程序，oinkmaster也在Linux發行版本的程序庫中。 Snort易于管理，雖然它有一些配置上的要求。要開始使用它，默認的配置對大多數網絡系統并不適用，因為它將所有不需要的規則也包括在其中。所以我們要做的第一件事情是清除所有不需要的規則，否則就會損害性能，并會生成一些虛假的警告。

另外一個重要的策略是要以秘密模式運行Snort，也就是說要監聽一個沒有IP地址的網絡接口。在沒有為它分配IP地址的接口上，如ifconfig eth0 up，以-i選項來運行Snort，如snort –i eth0。還有可能發生這樣的事情：如果你的網絡管理程序正運行在系統中，那它就會“有助于”展現出還沒有配置的端口，因此建議還是清除網絡管理程序。

Snort可以收集大量的數據，因此需要添加BASE(基本分析和安全引擎)，以便于獲得一個友好的可視化的分析工具，它以較老的ACID(入侵數據庫分析控制臺)為基礎。

簡潔方便：chkrootkit和rootkit

Rootkit檢測程序chkrootkit和rootkit Hunter也算是老牌的rootkit檢測程序了。很明顯，在從一個不可寫的外部設備運行時，它們是更可信任的工具，如從一個CD或寫保護的USB驅動器上運行時就是這樣。筆者喜歡SD卡，就是因為那個寫保護的的開關。這兩個程序可以搜索已知的rooktkit、后門和本地的漏洞利用程序，并且可以發現有限的一些可疑活動。我們需要運行這些工具的理由在于，它們可以查看文件系統上的/proc、ps和其它的一些重要的活動。雖然它們不是用于網絡的，但卻可以快速掃描個人計算機。

多面手：Tripwire

Tripwire是一款入侵檢測和數據完整性產品，它允許用戶構建一個表現最優設置的基本服務器狀態。它并不能阻止損害事件的發生，但它能夠將目前的狀態與理想的狀態相比較，以決定是否發生了任何意外的或故意的改變。如果檢測到了任何變化，就會被降到運行障礙最少的狀態。

如果你需要控制對Linux或UNIX服務器的改變，可以有三個選擇：開源的Tripwire、服務器版Tripwire、企業版Tripwire。雖然這三個產品有一些共同點，但卻擁有大量的不同方面，使得這款產品可以滿足不同IT環境的要求。

如開源的Tripwire對于監視少量的服務器是合適的，因為這種情形并不需要集中化的控制和報告;服務器版Tripwire對于那些僅在Linux/UNIX/Windows平臺上要求服務器監視并提供詳細報告和最優化集中服務器管理的IT組織是一個理想的方案;而企業版Tripwire對于需要在Linux/UNIX/Windows服務器、數據庫、網絡設備、桌面和目錄服務器之間安全地審核配置的IT組織而言是最佳選擇。
如果有需要服務器的租用與托管的敬請聯系QQ：１５０１２８１７５８（億恩星辰）　　　聯系電話：０３７１—６３３２２２２０

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]