13.13. AIDE を使用した侵入検知
AIDE (Advanced Intrusion Detection Environment) は、ファイルとディレクトリーの整合性チェッカーです。これは、承認されていないファイルの改ざんまたは変更のインシデントを検出するために使用されます。たとえば、AIDE は、システムパスワードファイルが変更された場合に警告を出すことができます。
AIDE は、システムファイルを分析し、ファイルハッシュの整合性データベースをまとめることで機能します。次に、データベースは、ファイルとディレクトリーの整合性を検証し、変更を検出する際の比較ポイントとなります。
director には AIDE サービスが含まれており、AIDE 設定にエントリーを追加でき、AIDE サービスはこれを使用して整合性データベースを作成できます。以下に例を示します。
resource_registry:
OS::TripleO::Services::Aide:
/usr/share/openstack-tripleo-heat-templates/deployment/aide/aide-baremetal-ansible.yaml
parameter_defaults:
AideRules:
'TripleORules':
content: 'TripleORules = p+sha256'
order: 1
'etc':
content: '/etc/ TripleORules'
order: 2
'boot':
content: '/boot/ TripleORules'
order: 3
'sbin':
content: '/sbin/ TripleORules'
order: 4
'var':
content: '/var/ TripleORules'
order: 5
'not var/log':
content: '!/var/log.*'
order: 6
'not var/spool':
content: '!/var/spool.*'
order: 7
'not nova instances':
content: '!/var/lib/nova/instances.*'
order: 8上記の例は、積極的には保守やベンチマーク設定されないので、要件に合わせて AIDE の値を選択する必要があります。
-
TripleORulesという名前のエイリアスを宣言することで、毎回同じ属性を繰り返し除外する必要がなくなります。 -
エイリアスは
p+sha256の属性を受け取ります。AIDE では、これは次の命令として解釈されます。sha256の整合性チェックサムを使用してすべてのファイルパーミッションpを監視する。
AIDE の設定ファイルで利用可能な属性の完全リストは、AIDE MAN ページ (https://aide.github.io/) を参照してください。
以下の手順を実行して、変更をデプロイメントに適用します。
-
/home/stack/templates/ディレクトリーにaide.yamlというファイルとして設定を保存します。 -
aide.yaml環境ファイルを編集して、お使いの環境に適したパラメーターおよび値を指定します。 ご自分の環境に固有のその他すべての heat テンプレートおよび環境ファイルと共に、
/home/stack/templates/aide.yaml環境ファイルをopenstack overcloud deployコマンドに追加します。openstack overcloud deploy --templates ... -e /home/stack/templates/aide.yaml
13.13.1. 複雑な AIDE ルールの使用
前述の形式を使用して、複雑なルールを作成できます。以下に例を示します。
MyAlias = p+i+n+u+g+s+b+m+c+sha512
上記は、次の命令として解釈されます。チェックサムの生成に sha256 を使用して、パーミッション、inode、リンクの数、ユーザー、グループ、サイズ、ブロック数、mtime、ctime をモニターする。
エイリアスの順番の位置は常に 1 であることに注意してください。つまり、AIDE ルールの先頭に配置され、それ以下のすべての値に再帰的に適用されます。
エイリアスの後は、監視するディレクトリーになります。正規表現を使用できます。たとえば、var ディレクトリーの監視を設定しますが、! を使用して not 句で上書きします ('!/var/log.*' および '!/var/spool.*')。
13.13.2. その他の AIDE 値
以下の AIDE 値も使用できます。
AideConfPath: aide 設定ファイルへの完全な POSIX パス。デフォルトは /etc/aide.conf です。ファイルの場所を変更する要件がない場合は、デフォルトのパスのままにすることが推奨されます。
AideDBPath: AIDE 整合性データベースへの完全な POSIX パス。この値は設定が可能で、オペレーターが独自のフルパスを宣言できます。多くの場合、AIDE データベースファイルはノード外に保管されるためです (読み取り専用のファイルマウント)。
AideDBTempPath: AIDE 整合性一時データベースへの完全な POSIX パス。この一時ファイルは、AIDE が新規データベースを初期化する際に作成されます。
AideHour: この値は、AIDE cron 設定の一部として hour 属性を設定します。
AideMinute: この値は、AIDE cron 設定の一部として minute 属性を設定します。
AideCronUser: この値は、AIDE cron 設定の一部として linux ユーザーを設定します。
AideEmail: この値は、cron が実行されるたびに AIDE レポートを受信するメールアドレスを設定します。
AideMuaPath: この値は、AideEmail で設定したメールアドレスに AIDE レポートを送信するために使用される Mail User Agent へのパスを設定します。
13.13.3. AIDE の cron 設定
AIDE director サービスにより、cron ジョブを設定できます。デフォルトでは、レポートを /var/log/audit/ に送信します。メールアラートを使用する場合は、AideEmail パラメーターを有効にして、設定されたメールアドレスにアラートを送信します。重大なアラートをメールに依存することは、システム停止や意図しないメッセージフィルタリングに対して脆弱である可能性があることに注意してください。
13.13.4. システムアップグレードの影響に関する考慮
アップグレードが実行されると、AIDE サービスが新しい整合性データベースを自動的に再生成し、アップグレードしたすべてのファイルが正しく再計算され、更新されたチェックサムが生成されるようにします。
openstack overcloud deploy が初期デプロイメントに対して後続の実行として呼び出され、AIDE 設定ルールが変更されると、director AIDE サービスはデータベースを再構築して、整合性データベースに新規設定属性が取り込まれるようにします。
