Add files via upload

Chapter7/7-43.md

@@ -0,0 +1,103 @@
+### 如何监控 Linux 文件操
+
+**1. Auditd**
+
+**`Auditd`** 是 Linux 内核提供的、功能最强大且最专业的审计工具。它可以记录几乎所有的系统调用，包括文件读、写、执行等操作，并能根据规则进行过滤。
+
+**优点：**
+
+- **全面而精准**：可以精确地监控指定用户、指定目录或特定系统调用
+- **安全性高**：即使系统被入侵，攻击者也很难篡改 `auditd` 的日志
+- **可配置性强**：可以通过规则文件（`/etc/audit/audit.rules`）自定义监控策略。
+
+**如何使用：**
+
+1. **安装**：大多数发行版默认已安装。如果没有，可以通过 `yum install audit` 或 `apt-get install auditd` 来安装
+
+2. **添加监控规则**：
+
+   - 监控 `/etc/` 目录下所有文件的写入、修改和权限变更：
+
+     ```bash
+     auditctl -w /etc/ -p wa -k etc_changes
+     ```
+
+   - 监控所有对 `rm` 命令的调用：
+
+     ```bash
+     auditctl -a always,exit -F arch=b64 -S unlink -S unlinkat -k file_deletion
+     ```
+
+3. **查看日志**：日志默认存放在 `/var/log/audit/audit.log`，可以使用 `ausearch` 和 `aureport` 等工具进行查询和分析
+
+**适用场景：**
+
+- **安全审计**：监控关键系统文件和目录，确保符合安全合规要求
+- **事后取证**：当发生安全事件时，可以从日志中追踪攻击者的文件操作行为
+
+**2. inotifywait**
+
+`inotify` 是 Linux 内核提供的文件系统事件监控接口，而 **`inotifywait`** 是一个命令行工具，它利用这个接口实时监控文件或目录的事件，比如创建、删除、修改等
+
+**优点：**
+
+- **实时性**：可以实时监控文件系统的变化
+- **轻量级**：安装和使用都很简单，对系统资源占用很小
+- **精确监控**：可以监控特定的事件类型
+
+**如何使用：**
+
+1. **安装**：`yum install inotify-tools` 或 `apt-get install inotify-tools`
+
+2. **开始监控**：
+
+   - 实时监控 `/tmp` 目录下的创建、删除、移动和写入操作：
+
+     ```bash
+     inotifywait -m -r -e create,delete,move,modify /tmp/
+     ```
+
+   - `-m`：持续监控
+
+   - `-r`：递归监控子目录
+
+   - `-e`：指定要监控的事件
+
+**适用场景：**
+
+- **脚本化监控**：可以轻松地集成到 shell 脚本中，当发生特定文件操作时，自动触发报警或执行其他操作
+- **快速排查问题**：例如，某个应用程序突然写入了大量日志文件，你可以用 `inotifywait` 来快速定位是哪个文件被修改了
+
+**3. FIM 工具**
+
+**FIM** 工具，如 **Tripwire** 和 **AIDE**（Advanced Intrusion Detection Environment），通过定期计算文件的哈希值（如 SHA256），来监控文件的完整性。如果哈希值发生变化，则说明文件被修改
+
+**优点：**
+
+- **强大的事后取证能力**：能够准确地识别出哪些文件在何时被修改
+- **防御篡改**：可以检测到攻击者对系统文件、恶意软件的篡改
+
+**如何使用（以 AIDE 为例）：**
+
+1. **安装**：`yum install aide` 或 `apt-get install aide`
+
+2. **创建基线数据库**：在系统干净时运行，生成文件的哈希值数据库
+
+   ```bash
+   aide --init
+   ```
+
+3. **移动数据库**：将生成的 `aide.db.new.gz` 文件改名为 `aide.db.gz` 并移动到安全位置
+
+4. **定期检查**：
+
+   ```bash
+   aide --check
+   ```
+
+   这会与基线数据库进行对比，并报告所有变更
+
+**适用场景：**
+
+- **系统加固**：定期检查关键系统文件（如 `/etc`、`/bin`）是否被非法修改
+- **入侵检测**：当怀疑系统被入侵时，FIM 工具能迅速找出被篡改的文件