☰

Kann AIDE ein Verzeichnis innerhalb eines Verzeichnisses scannen, für das der Benutzer keine Leseberechtigung hat?

tag-icon • tag-icon linux permissions security
Kann AIDE ein Verzeichnis innerhalb eines Verzeichnisses scannen, für das der Benutzer keine Leseberechtigung hat?

Ich möchte AIDE verwenden, um die Integrität meines Home-Verzeichnisses auf einem gemeinsam genutzten Linux-System zu überprüfen. Ich bin kein Administrator dieses Systems. Ich habe AIDE in meinem Home-Verzeichnis erstellt und installiert und es scheint ordnungsgemäß zu funktionieren.

Der Systemadministrator hat Berechtigungen für erteilt /home. 0751Dies erlaubt Benutzern den Zugriff /home, aber nicht die Auflistung des Verzeichnisinhalts.

Betrachten Sie zu Demonstrationszwecken diese übermäßig einfache aide.conf:

database=file:/home/kccricket/aide.db
database_out=file:aide.db.new
/home/kccricket R

Bei diesem Setup aide -iwird beim Ausführen Folgendes ausgegeben:

open_dir():Permission denied: /home

AIDE, version 0.15.1

### AIDE database at aide.db.new initialized.

Die resultierende AIDE-Datenbank ist leer. Wenn ich denselben Befehl mit -V255(höchste Ausführlichkeit) ausführe, kann ich sehen, dass AIDE jedes Verzeichnis in untersucht /und dann versucht, dasselbe mit zu tun /home. Es gerät ins Stocken, weil es den Inhalt von nicht auflisten kann /home.

Gibt es eine Möglichkeit, dies zum Laufen zu bringen, ohne den Systemadministrator zu bitten, die Berechtigungen zu ändern /home?

Antwort1

Die Lösung für dieses Problem besteht darin, AIDE aus dem aktuellen Entwicklungs-Snapshot oder der Alpha-Version 0.16a2 zu erstellen.

Version 0.16a2 enthält eine neue Option:

root_prefix
          The prefix to strip from each file name in the file system before applying
          the rules and writing to database. Aide removes a trailing slash from  the
          prefix.  The default is no (an empty) prefix. This option has no effect in
          compare mode.

Im Fall dieser Frage würde die neue Datei aide.conf lauten:

database=file:/home/kccricket/aide.db
database_out=file:aide.db.new
root_prefix=/home/kccricket
/ R

Dank geht an Hannes von Haugwitz ([email geschützt]) des AIDE-Teams für diese Informationen.

Antwort2

Sie können Aide so einstellen, dass das Scannen nur auf den durch Anhängen eines angegebenen Ordner beschränkt wird =.

Beispiel mit Ihrer Konfiguration:

database=file:/home/kccricket/aide.db
database_out=file:aide.db.new
/home/kccricket R

Ändern Sie die Zeile /home/kccricket Rin=/home/kccricket R

Dadurch wird Aide gezwungen, nur innerhalb des angegebenen Ordners zu scannen und keinen Blick nach außen zu werfen, was zu einem Fehler führen würde.

verwandte Informationen