Linux Socket Monitor diegimas CentOS aplinkoje

IV_VygandasS

Šioje trumpoje pamokoje pateikiame Linux Socket Monitor diegimo, bei konfigūravimo instrukcijas CentOS aplinkoje.

Linux Socket Monitor (LSM) - tai smulkus serverio socket stebėjimo įrankis/bash skriptas atliekantis socket periodinį tikrinimą. Taip leidžiant pastebėti jeigu serveryje yra vykdoma galimai kenkėjiška veikla. Pats įrankio veikimas yra paremtas periodiniu (pagal nutylėjimą kas 10 min.), bash skripto paleidimu serveryje aprašant šį vykdymą periodinėse cron užduotys.

LSM įdiegimas

1. Atsisiunčiame LSM archyvą:

wget http://www.rfxn.com/downloads/lsm-current.tar.gz

2. Išarchyvuojame "lsm-current.tar.gz" archyvą:

tar -zxvf lsm-current.tar.gz

3. Įdiegiame LSM paleidžiant "install.sh" skriptą:

cd lsm-0.6
./install.sh

Pasibaigus diegimui rezultate bus pateikta informacija apie atliktą įdiegimą, bei esminių failų lokacijas:

.: LSM installed
Install path: /usr/local/lsm
Config path: /usr/local/lsm/conf.lsm
Executable path: /usr/local/sbin/lsm
LSM version 0.6 <lsm@r-fx.org>
Copyright (C) 2004, R-fx Networks
2004, Ryan MacDonald
This program may be freely redistributed under the terms of the GNU GPL

generated base comparison files

LSM konfigūravimas

Pats įrankis nereikalauja ypatingų konfigūravimo darbų. Reikalinga yra nurodyti tik administratoriaus el. pašto dėžutės adresą siekiant, jog informaciniai pranešimai apie aptiktą pakitimą būtų pristatyti tinkamu el. pašto adresu.

El. pašto adresą pakeisti galime redaguojant "/usr/local/lsm/conf.lsm" konfigūracinį failą, bei pakeičiant "USER="root"" parametrą. Šis, kaip ir kiti LSM konfigūracinio failo parametrai yra pakomentuoti, todėl suprasti ką kuris parametras nurodo didelių sunkumų nebus.

Išsaugojus pakeitimus sekantis socket tikrinimas, bei administratoriaus informavimas bus vykdomas atsižvelgiant į naujai nurodytus parametrus. Kaip ir minėta pagal nutylėjimą LSM patikra yra vykdoma kas 10 min., šią vertę pakeisti galimybė yra redaguojant LSM įdiegimo metu sukurtą periodinę cron užduotį, kuri yra aprašyta šiame faile:

/etc/cron.d/lsm

Pagal nutylėjimą "lsm" failo turinys yra šis:

*/10 * * * * root /usr/local/sbin/lsm -c >> /dev/null 2>&1

LSM siunčiamo informacinio pranešimo apie aptiktus pakitimus pavyzdys:

This is an automated alert generated from <serveris>. This alert is to notify the addressed users of new server sockets. New server sockets can indicate server-software that has been started on your host, or otherwise be an indication to malicious activity. It is advised to review this alert and investigate the new listening service if it is unauthorized.

Following is a summary of new Internet Server Sockets:
> tcp 0 0 0.0.0.0:81 0.0.0.0:* LISTEN 24180/httpd

Following is a summary of a new Unix Domain Sockets:
no changes to Unix Domain Sockets

Siekiant inicijuoti LSM tikrinimą rankiniu būdu įvykdome šią komandą:

/usr/local/sbin/lsm -c

Siekiant sugeneruoti LSM naują tikrinamąjį bazinį failą įvykdome šią komandą:

/usr/local/sbin/lsm -g

Siekiant ištrinti esamą LSM tikrinamąjį bazinį failą įvykdome šią komandą:

/usr/local/sbin/lsm -d