Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Глава 8. Мониторинг журналов в режиме реального времени
135
будет.записывать.каждую.найденную.строку.в.буфер,.и.не.потребуется.много.време-
ни,.чтобы.добраться.до.конца.файла..По.достижении.конца.файла,.когда.поступление.
данных. прекратится,.буфер. будет. очищен,. то. есть. содержимое.буфера. будет. запи-
сано,.даже.если.он.заполнен.только.частично..Когда.входные.данные.поступают.из.
файла,.обычно.этот.процесс.идет.быстро.
Но.при.чтении.из.конвейера,.особенно.для.нашего.примера,.когда.
tail
.
-f
.вносит.дан-
ные.в.конвейер.не.так.часто.(только.когда.происходят.определенные.события),.данных.
для.заполнения.буфера.может.не.хватить..Буфер,.чтобы.мы.увидели.его.содержимое.
в.«реальном.времени»,.в.ближайшее.время.не.будет.очищен..Нам.придется.подождать.
его.заполнения..А.на.это.может.уйти.несколько.часов.или.даже.дней.
Решение. состоит. в. том,. чтобы. по. мере. нахождения. каждой. строки. указать.
egrep
.
использовать.менее.эффективную.технику.записи,.по.одной.строке.за.раз..Команда.
при.обнаружении.каждого.совпадения.будет.сохранять.данные,.перемещающиеся.по.
конвейеру.
Обнаружение вторжений с помощью журнала
Для.мониторинга.журнала.и.вывода.любых.записей,.которые.соответствуют.извест-
ным.шаблонам.подозрительной.или.вредоносной.деятельности,.часто.называемым.
IOC,.можно.использовать.возможности.команд.
tail
.и.
egrep
..Вы.можете.создать.
простую.систему.обнаружения.вторжений.(IDS)..Для.начала.создадим.файл,.со-
держащий.шаблоны.регулярных.выражений.для.IOC,.как.показано.в.примере.8.1.
Пример 8.1.
ioc.txt
\.\./ 

etc/passwd 

etc/shadow
cmd\.exe 

/bin/sh
/bin/bash

.Этот.шаблон.(
../
).является.показателем.обходной.атаки.каталога:.злоумышлен-
ник.пытается.выйти.из.текущего.рабочего.каталога.и.добраться.к.файлам,.доступ.
к.которым.ему.закрыт.

.Файлы.Linux.
etc/passwd
.и.
etc/shadow
.используются.для.аутентификации.си-
стемы.и.никогда.не.должны.быть.доступны.через.веб-сервер.

.Обслуживание.файлов.
cmd.exe
,.
/bin/sh
.или.
/bin/bash
.является.показателем.
наличия.обратного.подключения,.возвращаемого.веб-сервером..Обратное.под-
ключение.часто.говорит.об.успешной.попытке.эксплуатации.

---

136