如何在CentOS6.4上安装LinuxSocketMonitor(LSM)
状态:已弃用
本文介绍了不再受支持的 CentOS 版本。 如果您目前正在运行运行 CentOS 6 的服务器,我们强烈建议您升级或迁移到受支持的 CentOS 版本。
原因:CentOS 6 已于 2020 年 11 月 30 日结束生命周期 (EOL) ,不再接收安全补丁或更新。 因此,不再维护本指南。
请参阅:本指南可能仍可用作参考,但可能不适用于其他 CentOS 版本。 如果可用,我们强烈建议使用为您正在使用的 CentOS 版本编写的指南。
介绍
从广义上讲,应用程序使用套接字在彼此之间传输数据。 在通过网络(无论是内部还是外部)进行远距离通信时,用于该任务的主体保持不变,并且使用套接字来交换信息。
在这篇 DigitalOcean 文章中,我们将着眼于通过提高执行的监控级别来增强系统安全性。 我们将设置 Linux Socket Monitor,它会在创建新套接字时发出警报,这是一个未知应用程序入侵其主机的潜在信号。
了解套接字、端口和连接
设计为在网络上运行的应用程序(例如 互联网)需要根据其角色将自己绑定到某些端口,以便通过数据连接完成远距离信息交换的工作。
当应用程序成功启动时(即 一个在 80 端口上运行的 Web 服务器),它获得一个绑定到该端口号的套接字,[基本上] 由网络地址标识(即 IP 地址),协议(即 使用的信息交换语言和端口号(例如 80),它监听传入的连接请求。
另一方面,在生产线的另一端,客户端由应用程序组成(例如 Firefox Web 浏览器)发出请求以开始与这些应用程序通信或 [之后] 向/从这些应用程序发送和接收数据。
最后,客户端发出的请求到达其目标应用程序(即 Web 服务器),根据使用的协议(和规则集)执行某些程序。 如果服务器决定接受它,则通过套接字在这两方之间建立一个连接——实际上是一个新的连接,客户端和服务器都单独绑定到该连接,以便服务器仍然可以继续监听其他传入的请求同时。
了解如何识别可能的威胁
套接字是双向实例,用于在共享已建立连接的各方之间发送和接收数据。 如果(或何时)打开了一个新端口或创建了一个意外的套接字,这意味着有一个应用程序准备好通过传入的请求来侦听并获取命令,以便在它所在的主机上执行,具体取决于它拥有的权限。 当这种情况由不需要的或被渗透的应用程序发生时,快速处理它是至关重要的,这只能通过套接字监控进行快速检测。
Linux 套接字监视器:应用程序
什么是 Linux 套接字监视器?
Linux Socket Monitor (LSM) 是一个监控工具,它通过比较所拍摄的快照来跟踪端口和套接字(同一台机器上的应用程序之间使用的网络和进程间 (IPC) 端口和套接字的变化)——或者自动(安装时)或按照您的指示。
它使用实用工具 cron 以特定时间间隔安排其扫描——默认情况下,每 10 分钟一次——并检查正在使用的端口/套接字。 如果它发现任何差异,通过发送电子邮件警报,它会让您知道。
Linux 套接字监视器是如何工作的?
Linux Socket Monitor 实际上是一个非常智能且紧凑的 bash 脚本(程序)。 它需要两个命令来下载、安装和开始监控。 首次安装该工具时,它会扫描当前端口和套接字以创建网络的 基本比较文件 --a 快照。 它只需要一点点配置,您可以输入您的电子邮件地址以发送警报,就是这样!
如何安装 Linux 套接字监视器?
最新版本的 LSM 位于其开发者网站上:http://www.rfxn.com/downloads/lsm-current.tar.gz
要下载磁带存档(tar、tarball),请运行以下命令:
wget http://www.rfxn.com/downloads/lsm-current.tar.gz
这会将存档下载到您拥有的当前文件夹中。
让我们从 tarball 中提取内容:
tar -xvfz lsm-current.tar.gz
我们现在可以通过运行安装脚本来安装 LSM。
进入目录并运行安装:
$ cd lsm-0.6 $ ./install.sh
快速安装完成后,您将看到应用程序本身的摘要以及已生成基本比较文件的通知,类似于以下内容:
.: LSM installed Install path: /usr/local/lsm Config path: /usr/local/lsm/conf.lsm Executable path: /usr/local/sbin/lsm LSM version 0.6 <lsm@r-fx.org> Copyright (C) 2004, R-fx Networks 2004, Ryan MacDonald This program may be freely redistributed under the terms of the GNU GPL generated base comparison files
我们现在可以通过修改配置文件来完成设置。
使用 nano
文本编辑器打开 LSM 配置文件:
nano /usr/local/lsm/conf.lsm
在这里,您将看到 LSM 用于操作的相对较长的值列表。 我们需要修改的是列表中的第三个:USER="root"
,它位于顶部被注释掉的部分之后。
使用箭头键,转到该行并将 root 替换为您的电子邮件地址。
例子:
USER="system.alerts@mydomain.com" # ..
如果您想接收警报,您还可以修改文档上的以下行(id 电子邮件)的主题行与默认主题行不同。
为了更改电子邮件的主题行,请修改:
SUB="LSM Port Monitor Alert on $HOSTNAME" # ..
到你喜欢的主题。 确保 $HOSTNAME
保持原样,它将包含您机器的主机名——当您处理多个主机时,这是一个有用的方面。
如果不确定如何设置机器的主机名,可以参考这 Etel Sverdlov 在 DigitalOcean 帮助和社区部分的优秀文章。
我们很高兴!
使用 Linux 套接字监视器
安装后,LSM 已经为您当前的端口和套接字拍摄了快照,并设置了一个 cron 作业 以每 10 分钟运行一次。
在任何给定时刻,您都可以通过两个简单的命令删除或重新创建比较文件:
- 删除快照(camparison 文件):
/usr/local/sbin/lsm -d
- 手动运行比较测试:
/usr/local/sbin/lsm -c
并重新创建快照:
- 生成基础比较文件:
/usr/local/sbin/lsm -g
请注意: 从您的系统发送电子邮件需要您安装邮件用户代理应用程序。 如果您还没有,可以选择多种选项。 后续文章将介绍安装代理。