Scripts de sécurité et de surveillance Linux

Il s'agit d'une collection de scripts de sécurité et de surveillance que vous pouvez utiliser pour surveiller votre installation Linux pour des événements liés à la sécurité ou pour une investigation. Chaque script fonctionne de manière autonome et est indépendant des autres scripts. Les scripts peuvent être configurés pour soit afficher leurs résultats, vous les envoyer par courrier, soit utiliser AlertR comme canal de notification.

Structure du dépôt

Les scripts se trouvent dans le répertoire scripts/.
Chaque script contient un bref résumé dans l'en-tête du fichier avec une description de ce qu'il est censé faire, comment interpréter le résultat de détection s'il n'est pas univoque et les problèmes connus. S'il a des dépendances à installer, elles sont également listées, ainsi que des références sur l'origine de l'idée de ce script (si disponible).

Chaque script possède un fichier de configuration dans le répertoire scripts/config/ pour le configurer. Si le fichier de configuration n'est pas trouvé lors de l'exécution du script, le script utilisera les paramètres par défaut et affichera les résultats. Il n'est donc pas nécessaire de fournir un fichier de configuration.

Le répertoire scripts/lib/ contient du code partagé entre différents scripts.

Les scripts utilisant un préfixe monitor_ conservent un état et ne sont utiles que pour la surveillance. Une utilisation unique pour une investigation ne montrera que l'état actuel du système Linux et non les modifications qui pourraient être pertinentes pour la sécurité du système. Si vous souhaitez établir l'état actuel de votre système comme bénin pour ces scripts, vous pouvez fournir l'argument --init.

Les scripts utilisant un préfixe search_ recherchent des indicateurs de compromission. Ceux-ci peuvent être utilisés à des fins d'investigation. Si vous souhaitez les utiliser pour la surveillance, vous pouvez fournir l'argument --monitoring pour conserver un état et ne signaler que les nouvelles découvertes.

Utilisation

Jetez un coup d'œil à l'en-tête du script que vous souhaitez exécuter. Il contient une courte description de ce que ce script est censé faire et des prérequis nécessaires (s'il y en a). Si des prérequis sont nécessaires, installez-les avant d'exécuter le script.

Le fichier de configuration partagé scripts/config/config.py contient les paramètres utilisés par tous les scripts. De plus, chaque script peut être configuré en utilisant le fichier de configuration correspondant dans le répertoire scripts/config/. Si aucun fichier de configuration n'est trouvé, un paramètre par défaut est utilisé et les résultats sont affichés.

Enfin, vous pouvez exécuter tous les scripts configurés en exécutant start_search.py (qui se trouve dans le répertoire principal) ou en exécutant chaque script manuellement. Un interpréteur Python3 est nécessaire pour exécuter les scripts.

Surveillance

Si vous souhaitez utiliser les scripts pour surveiller constamment votre système Linux, vous devez effectuer les étapes suivantes :

1. Configurez un canal de notification pris en charge par les scripts (actuellement l'affichage, le courrier ou AlertR).

2. Configurez les scripts que vous souhaitez exécuter à l'aide des fichiers de configuration dans le répertoire scripts/config/.

3. Exécutez start_search.py avec l'argument --init pour initialiser les scripts avec le préfixe monitor_ et leur permettre d'établir un état de votre système. Cependant, cela suppose que votre système n'est actuellement pas compromis. Si vous n'en êtes pas sûr, vous devez vérifier son état actuel.

4. Configurez une tâche cron en tant qu'utilisateur root qui exécute start_search.py --monitoring (par exemple, 0 * * * * root /opt/LSMS/start_search.py --monitoring pour lancer la recherche toutes les heures). L'argument --monitoring permet aux scripts de ne signaler que les nouvelles découvertes et évite ainsi qu'ils ne rapportent constamment le même problème.

Liste des scripts