Chuyển tới nội dung chính

Giám Sát Toàn Vẹn Hệ Thống Tệp tin (FIM) Hiệu Quả

Giới Thiệu​

Giám sát Toàn vẹn Hệ thống Tệp tin (File Integrity Monitoring - FIM) là một thành phần thiết yếu trong chiến lược bảo mật của mọi tổ chức. FIM giúp phát hiện các thay đổi không mong muốn hoặc trái phép đối với các tệp tin và thư mục quan trọng trên hệ thống. Những thay đổi này có thể là dấu hiệu của các cuộc tấn công mạng, phần mềm độc hại, lỗi cấu hình, hoặc hoạt động nội bộ độc hại. Bằng cách thiết lập một "đường cơ sở" (baseline) của hệ thống tệp tin và liên tục so sánh trạng thái hiện tại với đường cơ sở đó, FIM cung cấp khả năng cảnh báo sớm, giúp bạn phản ứng kịp thời trước các mối đe dọa.

Bài hướng dẫn này sẽ tập trung vào việc triển khai FIM sử dụng AIDE (Advanced Intrusion Detection Environment) trên hệ thống Linux, một công cụ mã nguồn mở mạnh mẽ và linh hoạt.

📋 Thời gian: 25 phút | Độ khó: Trung bình

Yêu Cầu​

Để thực hiện theo hướng dẫn này, bạn cần có:

  • Một hệ thống Linux (ví dụ: Ubuntu, Debian, CentOS, RHEL).
  • Quyền truy cập sudo để cài đặt phần mềm và thực hiện các thay đổi cấu hình hệ thống.
  • Kiến thức cơ bản về dòng lệnh Linux.
  • Kết nối internet để tải xuống các gói cài đặt.

Các Bước Thực Hiện​

Bước 1: Cài Đặt AIDE​

AIDE là công cụ giám sát toàn vẹn tệp tin phổ biến, có sẵn trong hầu hết các kho lưu trữ gói của Linux.

# Cập nhật danh sách gói và cài đặt AIDE trên hệ thống dựa trên Debian/Ubuntu
sudo apt update
sudo apt install aide aide-common

# Hoặc trên hệ thống dựa trên RHEL/CentOS/Fedora
# sudo yum install aide
# Hoặc
# sudo dnf install aide

Lệnh trên sẽ cài đặt AIDE và các tệp cấu hình cần thiết vào hệ thống của bạn.

Bước 2: Khởi Tạo Cơ Sở Dữ Liệu AIDE​

Trước khi AIDE có thể giám sát bất kỳ thay đổi nào, nó cần tạo một cơ sở dữ liệu ban đầu (baseline) về trạng thái hiện tại của các tệp tin và thư mục trên hệ thống. Cơ sở dữ liệu này bao gồm các thuộc tính như kích thước, quyền, người sở hữu, thời gian sửa đổi và các hàm băm (MD5, SHA256, v.v.).

# Khởi tạo cơ sở dữ liệu AIDE
# Quá trình này có thể mất một chút thời gian tùy thuộc vào số lượng tệp tin trên hệ thống của bạn.
sudo aide --init

Sau khi hoàn tất, AIDE sẽ tạo một tệp cơ sở dữ liệu mới có tên aide.db.new.gz (hoặc tương tự) trong thư mục /var/lib/aide/. Bạn cần di chuyển tệp này đến vị trí mặc định để AIDE có thể sử dụng nó cho các lần kiểm tra sau.

# Di chuyển cơ sở dữ liệu mới vào vị trí mặc định
sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

⚠️ Cảnh báo: Cơ sở dữ liệu ban đầu này là cực kỳ quan trọng. Nó đại diện cho trạng thái "sạch" của hệ thống. Hãy đảm bảo bạn bảo vệ nó khỏi bị giả mạo. Một số tổ chức chọn lưu trữ bản sao của cơ sở dữ liệu này trên phương tiện chỉ đọc hoặc trên một máy chủ an toàn từ xa.

Bước 3: Cấu Hình AIDE (Tùy Chỉnh)​

AIDE sử dụng tệp cấu hình chính là /etc/aide/aide.conf để xác định những gì cần giám sát và cách thức giám sát. Bạn có thể chỉnh sửa tệp này để tùy chỉnh các quy tắc giám sát cho phù hợp với nhu cầu của mình.

# Mở tệp cấu hình AIDE bằng trình soạn thảo văn bản
sudo vim /etc/aide/aide.conf

Trong tệp cấu hình, bạn sẽ thấy các định nghĩa quy tắc (ví dụ: NORMAL, DIR, DATAONLY) và các đường dẫn được bao gồm hoặc loại trừ.

  • Định nghĩa quy tắc: Các quy tắc xác định những thuộc tính nào của tệp tin sẽ được giám sát (ví dụ: p cho quyền, i cho inode, s cho kích thước, md5 cho hàm băm MD5).
    • Ví dụ: NORMAL = R+p+i+n+u+g+s+md5+sha1 (giám sát các thuộc tính cơ bản và hàm băm)
    • DIR = p+i+n+u+g (chỉ giám sát các thuộc tính thư mục)
  • Bao gồm/Loại trừ đường dẫn: Bạn có thể chỉ định các thư mục cần giám sát hoặc loại trừ các thư mục không quan trọng (ví dụ: /tmp, /proc, /sys) để tránh quá nhiều cảnh báo giả và cải thiện hiệu suất.
    • Ví dụ: 
      # Giám sát toàn bộ hệ thống file ngoại trừ các đường dẫn sau
      /bin NORMAL
      /sbin NORMAL
      /etc NORMAL
      /var/www NORMAL

      # Loại trừ các thư mục thường xuyên thay đổi hoặc không cần thiết
      !/var/log
      !/var/tmp
      !/tmp
      !/proc
      !/sys
      !/run
      !/mnt

Sau khi thực hiện bất kỳ thay đổi nào đối với tệp cấu hình, bạn phải khởi tạo lại cơ sở dữ liệu AIDE để các thay đổi có hiệu lực.

# Khởi tạo lại cơ sở dữ liệu sau khi sửa đổi cấu hình
sudo aide --init
sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Bước 4: Chạy Giám Sát Toàn Vẹn​

Để kiểm tra xem có bất kỳ thay đổi nào đối với hệ thống tệp tin kể từ lần cuối cùng cơ sở dữ liệu được tạo hoặc cập nhật hay không, bạn chạy lệnh aide --check.

# Kiểm tra toàn vẹn hệ thống tệp tin
sudo aide --check

AIDE sẽ so sánh trạng thái hiện tại của hệ thống với cơ sở dữ liệu và báo cáo bất kỳ tệp tin nào đã được thêm, xóa hoặc sửa đổi.

💡 Mẹo: Hãy chạy kiểm tra này thường xuyên để phát hiện sớm các thay đổi.

Bước 5: Cập Nhật Cơ Sở Dữ Liệu Sau Thay Đổi Hợp Lệ​

Khi bạn thực hiện các thay đổi hợp lệ trên hệ thống (ví dụ: cài đặt bản cập nhật phần mềm, thêm người dùng, thay đổi cấu hình), AIDE sẽ báo cáo những thay đổi này trong lần kiểm tra tiếp theo. Để tránh báo cáo giả mạo, bạn cần cập nhật cơ sở dữ liệu của AIDE để phản ánh trạng thái mới, hợp lệ của hệ thống.

# Cập nhật cơ sở dữ liệu AIDE sau khi xác minh các thay đổi là hợp lệ
sudo aide --update

Lệnh này sẽ tạo một tệp cơ sở dữ liệu mới (aide.db.new.gz) phản ánh trạng thái hiện tại của hệ thống. Sau khi kiểm tra và xác nhận rằng tất cả các thay đổi được báo cáo là hợp lệ, bạn có thể thay thế cơ sở dữ liệu cũ bằng cơ sở dữ liệu mới.

# Thay thế cơ sở dữ liệu cũ bằng cơ sở dữ liệu mới đã cập nhật
sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

✅ Thành công: Cơ sở dữ liệu AIDE của bạn hiện đã được cập nhật với trạng thái hợp lệ mới nhất của hệ thống.

Bước 6: Tự Động Hóa Giám Sát với Cron Job​

Để đảm bảo giám sát liên tục và không bị gián đoạn, bạn nên tự động hóa quá trình kiểm tra AIDE bằng cách sử dụng cron.

# Mở crontab để thêm một công việc định kỳ
sudo crontab -e

Thêm dòng sau vào cuối tệp crontab để chạy kiểm tra AIDE hàng ngày vào lúc 3 giờ sáng và ghi kết quả vào một tệp nhật ký.

# Chạy kiểm tra AIDE hàng ngày vào lúc 3 giờ sáng
0 3 * * * /usr/bin/aide --check > /var/log/aide_check.log 2>&1

Lệnh trên sẽ chạy AIDE, kiểm tra toàn vẹn hệ thống và chuyển hướng tất cả đầu ra (bao gồm cả lỗi) vào tệp /var/log/aide_check.log.

⚠️ Cảnh báo: Hãy đảm bảo bạn thường xuyên xem xét tệp nhật ký /var/log/aide_check.log để kịp thời phát hiện và phản ứng với các cảnh báo.

Troubleshooting​

  • Lỗi "Database is not found":

    • Nguyên nhân: Tệp cơ sở dữ liệu aide.db.gz không tồn tại hoặc không ở đúng vị trí mặc định (/var/lib/aide/). Điều này thường xảy ra nếu bạn quên chạy sudo aide --init hoặc không di chuyển tệp aide.db.new.gz sau khi khởi tạo.
    • Cách xử lý: Chạy lại sudo aide --init và sau đó di chuyển tệp aide.db.new.gz vào /var/lib/aide/aide.db.gz như đã hướng dẫn ở Bước 2.

  • Quá nhiều cảnh báo về thay đổi:

    • Nguyên nhân: Cấu hình AIDE của bạn có thể quá nghiêm ngặt, giám sát các tệp tin thường xuyên thay đổi mà không cần thiết (ví dụ: tệp nhật ký, bộ nhớ cache). Hoặc có thể có nhiều thay đổi hợp lệ trên hệ thống (ví dụ: cập nhật hệ thống) mà cơ sở dữ liệu chưa được cập nhật.
    • Cách xử lý:
      1. Kiểm tra và xác minh thay đổi: Đầu tiên, hãy kiểm tra các thay đổi được báo cáo để đảm bảo chúng là hợp lệ.
      2. Tối ưu cấu hình: Chỉnh sửa /etc/aide/aide.conf để loại trừ các đường dẫn không cần giám sát (ví dụ: /var/log, /var/cache, /tmp) hoặc giảm độ nghiêm ngặt của quy tắc cho các thư mục ít quan trọng.
      3. Cập nhật cơ sở dữ liệu: Sau khi xác minh các thay đổi là hợp lệ và/hoặc điều chỉnh cấu hình, chạy sudo aide --update và di chuyển tệp cơ sở dữ liệu mới.

  • Hiệu năng hệ thống bị ảnh hưởng khi AIDE chạy:

    • Nguyên nhân: Giám sát quá nhiều tệp tin hoặc sử dụng các quy tắc kiểm tra quá chi tiết (ví dụ: tính toán tất cả các loại hàm băm cho mọi tệp tin) trên một hệ thống có tài nguyên hạn chế hoặc nhiều tệp tin.
    • Cách xử lý:
      1. Tối ưu cấu hình AIDE:
        • Loại trừ các thư mục không quan trọng hoặc không thay đổi thường xuyên.
        • Chỉ áp dụng các quy tắc nghiêm ngặt (ví dụ: ALL = ...) cho các thư mục cực kỳ quan trọng (ví dụ: /bin, /sbin, /etc).
        • Sử dụng các quy tắc ít nghiêm ngặt hơn (ví dụ: NORMAL = ... hoặc DATAONLY = ...) cho các thư mục khác.
      2. Lập lịch lại Cron Job: Điều chỉnh thời gian chạy của cron job vào các giờ cao điểm thấp hoặc chia nhỏ việc kiểm tra thành nhiều lần với các phạm vi khác nhau nếu cần thiết.

Kết Luận​

Giám sát toàn vẹn hệ thông tệp tin (FIM) là một tuyến phòng thủ quan trọng, cung cấp khả năng phát hiện sớm các thay đổi bất thường có thể chỉ ra sự xâm nhập hoặc các vấn đề bảo mật khác. AIDE là một công cụ mạnh mẽ và linh hoạt giúp bạn đạt được mục tiêu này trên các hệ thống Linux.

Best practices (Thực hành tốt nhất):

  • Bảo mật cơ sở dữ liệu: Luôn bảo vệ tệp cơ sở dữ liệu AIDE (aide.db.gz) khỏi bị giả mạo. Cân nhắc lưu trữ bản sao trên phương tiện chỉ đọc, một máy chủ từ xa an toàn, hoặc sử dụng hệ thống kiểm soát phiên bản.
  • Xem xét nhật ký thường xuyên: Đừng chỉ thiết lập và quên đi. Hãy thường xuyên xem xét các báo cáo của AIDE để kịp thời phát hiện và điều tra các cảnh báo.
  • Kết hợp với các biện pháp khác: FIM là một phần của chiến lược bảo mật toàn diện. Hãy kết hợp nó với các giải pháp khác như hệ thống phát hiện/ngăn chặn xâm nhập (IDS/IPS), phần mềm diệt virus, và hệ thống quản lý thông tin và sự kiện bảo mật (SIEM).
  • Cập nhật cơ sở dữ liệu có trách nhiệm: Chỉ cập nhật cơ sở dữ liệu AIDE sau khi bạn đã xc minh rằng tất cả các thay đổi được báo cáo là hợp lệ và có chủ đích.

Bằng cách tuân thủ các bước và thực hành tốt nhất này, bạn có thể tăng cường đáng kể khả năng bảo mật và khả năng phục hồi của hệ thống trước các mối đe dọa tiềm ẩn.

Xem thêm: