Управляем удаленными базами AIDE

Рашид Ачилов

В один прекрасный день вы решаете оснастить все ваши сервера программой локального контроля от вторжений AIDE. Осуществлению этого, несомненно правильного желания мешает только одно – сервера территориально разбросаны, а хотелось бы хранить базы AIDE на съемных носителях... Сегодня мы расскажем вам, как собрать данные со всех компьютеров, не вставая с места.

Программа AIDE позволит вам контролировать изменения, происходящие в файловой системе. Для этого она создает отдельную базу данных, содержащую информацию об атрибутах файлов – дате и времени создания, дате и времени модификации, размере, владельце. База также содержит контрольную сумму содержимого файла для проверки его на неизменность содержимого. Контрольная сумма шифруется различными методами для исключения возможности ее подделки. Правильное использование AIDE гарантирует в достаточной степени неизменность файлов. Но вот работают несколько серверов, на них всех установлена AIDE, базу которой рекомендуется хранить на сменном носителе с целью не допустить попадания ее в чужие руки. Как реализовать это требование? Не вручную же копировать базу с каждого сервера? Для автоматизации этой задачи и был разработан скрипт AIDEControl.

Итак:

n  Базы AIDE на всех наших серверах размещаются (по умолчанию) в /var/db/aide/aide.db.

n  Обновление базы производится сторонними средствами (вручную, через cron или с помощью скриптов).

Мы рассмотрим программу автоматического копирования баз AIDE с множества удаленных машин на некую центральную машину, обеспечивающую при этом невозможность использования данных базы в случае ее несанкционированного перехвата. Программа копирует базы на сменный носитель небольшого физического размера, а также сохраняет несколько поколений баз на сменном носителе большого обьема.

Нужно ли защищаться от перехвата данных базы? Даже при невозможности ее модификации база все равно остается лакомым куском, потому что содержит список всех файлов (кроме тех, которые были исключены через конфигурационный файл) с указанием их имен, размеров, дат создания и владельцев, а это уже сама по себе немалая информация. Поэтому копирование баз будем производить через SSH с использованием скрипта, описанного в [1].

Двойное копирование последнего поколения базы необходимо потому, что последнее поколение хранится «под руками» – там, где контроль за неизменностью файлов ведется чисто визуально. Дубль же последнего поколения, а также несколько предыдущих поколений хранятся на RW-диске в сейфе, там же, где хранятся резервные копии данных. При необходимости вы всегда сможете сравнить две копии, а также провести анализ, как изменялся тот или иной файл (по предыдущим копиям базы).

На рис. 1 изображена связь между мастер-компьютером, компьютерами, с которых собираются базы, и носителями. Для каждого приведено расположение файлов базы AIDE в процессе работы скрипта. Следует учесть, что это расположение баз именно в процессе работы скрипта, потому что, когда база скопирована на мастер-компьютер, она стирается с удаленного компьютера, а при завершении копирования на Flash она удаляется и с мастер-компьютера.

Рисунок 1. Расположение баз AIDE на «мастере» и удаленных компьютерах

Для подключения к удаленным компьютерам скрипт использует пользовательский бюджет с именем aide. Это бюджет не для запуска скрипта, запуск скрипта делается только пользователем root. Скрипт реализован на языке Bourne shell, с использованием типового комплекта инструментов – sed, awk, grep.

В качестве мастер-компьютера использовался компьютер с операционной системой FreeBSD 5.3-RELEASE, USB Flash Seitek BAR 128 Мб и CompactFlash PQI 128 Мб. Работа в других UNIX-системах не проверялась.

Какое программное обеспечение потребуется