Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Глава 10. Инструмент: контроль файловой системы
159
Пример 10.1.
baseline.txt
3a52ce780950d4d969792a2559cd519d7ee8c727 /.gitkeep
ab4e53fda1a93bed20b1cc92fec90616cac89189 /autoscan.sh
ccb5bc521f41b6814529cc67e63282e0d1a704fe /fd2.sh
baea954b95731c68ae6e45bd1e252eb4560cdc45 /ips.txt
334389048b872a533002b34d73f8c29fd09efc50 /localhost
.
.
.
При использовании в Git Bash команды sha1sum в файле вывода в начале 
файлового пути часто добавляется символ *. Это может помешать в дальнейшем 
использовать базовый файл для выявления изменений. Можно направить вывод 
sha1sum в команду sed, чтобы удалить первое вхождение символа *:
sed 's/*//'
Для.достижения.наилучших.результатов.желательно.провести.определение.исход-
ного.состояния.файловой.системы,.когда.система.находится.в.заведомо.хорошей.
конфигурации,.например,.когда.стандартная.операционная.система,.приложения.
и.исправления.только.что.были.установлены..Это.гарантирует,.что.вредоносные.
программы.или.другие.нежелательные.файлы.не.станут.частью.файла,.в.котором.
зафиксировано.исходное.состояние.системы.
Шаг 2. Обнаружение изменений в исходном 
состоянии системы
Чтобы.обнаружить.изменения.в.системе,.необходимо.сравнить.ранее.записанное.
исходное.состояние.системы.с.ее.текущим.состоянием..При.сравнении.происхо-
дит.пересчет.вычисленной.цифровой.последовательности.сообщения.(хеша).для.
каждого.файла,.находящегося.в.системе,.и.сравнение.вновь.полученного.значения.
с.последним,.ранее.зафиксированным.значением.(в.базовом.файле)..Если.значения.
различаются,.значит,.файл,.хеш.которого.проверяется,.претерпел.изменения..Если.
файл.упоминается.в.базовом.списке,.но.в.системе.отсутствует,.следовательно,.он.
был.удален,.перемещен.или.переименован..Если.файл.в.системе.существует,.но.
в.базовом.списке.отсутствует,.можно.предположить,.что.это.новый.файл.или.файл,.
который.был.перемещен.или.переименован.
Команда.
sha1sum
.хороша.тем,.что,.если.вы.просто.используете.параметр.
–с
,.она.сде-
лает.большую.часть.работы.за.вас..С.помощью.этой.опции.
sha1sum
.будет.считывать.

---

160