Script di Sicurezza e Monitoraggio per Linux

Questa è una raccolta di script di sicurezza e monitoraggio che puoi utilizzare per monitorare la tua installazione Linux per eventi legati alla sicurezza o per un'indagine. Ogni script funziona autonomamente ed è indipendente dagli altri. Gli script possono essere configurati per stampare i risultati, inviarteli tramite email o utilizzare AlertR come canale di notifica.

Struttura del Repository

Gli script si trovano nella directory scripts/. Ogni script contiene un breve riepilogo nell'intestazione del file con una descrizione di ciò che dovrebbe fare, come interpretare il risultato della rilevazione se non univoco e problemi noti. Se ha dipendenze che devono essere installate, vengono elencate, così come i riferimenti alla fonte dell'idea per questo script (se disponibili).

Ogni script ha un file di configurazione nella directory scripts/config/ per configurarlo. Se il file di configurazione non viene trovato durante l'esecuzione dello script, lo script utilizzerà le impostazioni predefinite e stamperà i risultati. Quindi non è necessario fornire un file di configurazione.

La directory scripts/lib/ contiene codice condiviso tra diversi script.

Gli script che utilizzano un prefisso monitor_ mantengono uno stato e sono utili solo per scopi di monitoraggio. Un singolo utilizzo per un'indagine mostrerà solo lo stato attuale del sistema Linux e non le modifiche che potrebbero essere rilevanti per la sicurezza del sistema. Se desideri stabilire lo stato attuale del sistema come benigno per questi script, puoi fornire l'argomento --init.

Gli script che utilizzano un prefisso search_ cercano indicatori di compromissione. Questi possono essere utilizzati per scopi di indagine. Se desideri utilizzarli per scopi di monitoraggio, puoi fornire l'argomento --monitoring per mantenere uno stato e visualizzare solo nuovi risultati.

Utilizzo

Dai un'occhiata all'intestazione dello script che desideri eseguire. Contiene una breve descrizione di ciò che lo script dovrebbe fare e quali requisiti sono necessari (se necessari). Se sono necessari requisiti, installali prima di eseguire lo script.

Il file di configurazione condiviso scripts/config/config.py contiene impostazioni utilizzate da tutti gli script. Inoltre, ogni script può essere configurato utilizzando il file di configurazione corrispondente nella directory scripts/config/. Se non viene trovato alcun file di configurazione, viene utilizzata un'impostazione predefinita e i risultati vengono stampati.

Infine, puoi eseguire tutti gli script configurati eseguendo start_search.py (che si trova nella directory principale) o eseguendo manualmente ciascuno script. Per eseguire gli script è necessario un interprete Python3.

Monitoraggio

Se desideri utilizzare gli script per monitorare costantemente il tuo sistema Linux, devi eseguire i seguenti passaggi:

1. Configura un canale di notifica supportato dagli script (attualmente stampa, email o AlertR).

2. Configura gli script che desideri eseguire utilizzando i file di configurazione nella directory scripts/config/.

3. Esegui start_search.py con l'argomento --init per inizializzare gli script con il prefisso monitor_ e far loro stabilire uno stato del sistema. Tuttavia, ciò presuppone che il sistema non sia compromesso al momento. Se non ne sei sicuro, dovresti verificarne lo stato attuale.

4. Imposta un cron job come utente root che esegue start_search.py --monitoring (ad esempio, 0 * * * * root /opt/LSMS/start_search.py --monitoring per avviare la ricerca ogni ora). L'argomento --monitoring fa sì che gli script riportino solo nuovi risultati e quindi impedisce loro di segnalare costantemente lo stesso problema.

Elenco degli Script