Скрипты безопасности и мониторинга для Linux

Это набор скриптов для безопасности и мониторинга, которые можно использовать для отслеживания событий, связанных с безопасностью, в вашей установке Linux, а также для проведения расследований. Каждый скрипт работает самостоятельно и независим от других. Скрипты могут выводить результаты, отправлять их вам по почте или использовать AlertR в качестве канала уведомлений.

Структура репозитория

Скрипты находятся в каталоге scripts/. Каждый скрипт содержит краткое описание в заголовке файла с указанием его назначения, способа интерпретации результата (если он не однозначен) и известных проблем. Также перечислены зависимости, которые необходимо установить, и ссылки на источник идеи (если доступны).

Для каждого скрипта существует файл конфигурации в каталоге scripts/config/. Если конфигурационный файл не найден при выполнении скрипта, он использует настройки по умолчанию и выводит результаты. Таким образом, файл конфигурации не обязателен.

Каталог scripts/lib/ содержит код, общий для различных скриптов.

Скрипты с префиксом monitor_ сохраняют состояние и используются только для мониторинга. Однократное использование такого скрипта для расследования покажет только текущее состояние системы, а не изменения, которые могут быть важны для безопасности. Если вы хотите установить текущее состояние вашей системы как безопасное для этих скриптов, используйте аргумент --init.

Скрипты с префиксом search_ ищут признаки компрометации. Их можно использовать для расследования. Если вы хотите использовать их для мониторинга, используйте аргумент --monitoring для сохранения состояния и вывода только новых находок.

Использование

Ознакомьтесь с заголовком скрипта, который вы хотите выполнить. В нём содержится краткое описание того, что делает этот скрипт, и какие зависимости требуются (если они есть). Если требуются зависимости, установите их перед запуском скрипта.

Общий файл конфигурации scripts/config/config.py содержит настройки, используемые всеми скриптами. Кроме того, каждый скрипт можно настроить с помощью соответствующего файла конфигурации в каталоге scripts/config/. Если файл конфигурации не найден, используются настройки по умолчанию, и результаты выводятся на экран.

Наконец, вы можете запустить все настроенные скрипты, выполнив start_search.py (который находится в главном каталоге), или запустив каждый скрипт вручную. Для запуска скриптов требуется интерпретатор Python3.

Мониторинг

Если вы хотите использовать скрипты для постоянного мониторинга вашей системы Linux, выполните следующие шаги:

1. Настройте канал уведомлений, поддерживаемый скриптами (в настоящее время это вывод на экран, почта или AlertR).

2. Настройте скрипты, которые вы хотите запускать, с помощью файлов конфигурации в каталоге scripts/config/.

3. Выполните start_search.py с аргументом --init, чтобы инициализировать скрипты с префиксом monitor_ и позволить им установить состояние вашей системы. Однако это предполагает, что ваша система в настоящее время не скомпрометирована. Если вы не уверены в этом, проверьте её текущее состояние.

4. Настройте задание cron от пользователя root, которое выполняет start_search.py --monitoring (например, 0 * * * * root /opt/LSMS/start_search.py --monitoring для ежечасного запуска). Аргумент --monitoring заставляет скрипты сообщать только о новых находках, предотвращая постоянное повторение одних и тех же проблем.

Список скриптов