Inotify incron Linux DDoS 伺服器 網站 駭客 資安

以Inotify監控檔案系統 即時察覺網站遭惡意插旗

2015-10-28
如果公司的網站頁面被成惡意攻擊者置換掉,那麼對公司商譽的損傷是難以彌補的,而整個IT團隊也會顏面盡失,如何制止這類事件的發生就變得非常重要了。對此,這裡將介紹如何透過Linux系統的Inotify機制,並搭配inotify-tool及incron軟體,來建構一個可即時監控系統變動的解決方案。
身為網站管理者,內心最大的恐懼應該不會是服務中斷,畢竟如果只是服務中斷,大部分的情況只要重啟服務就可解決,即使重啟失敗,只要平時備份工作有落實,通常在重灌系統及回復資料之後,就能恢復服務。

但如果是因系統安全的漏洞,而使得惡意的攻擊者在網站伺服器上插旗,即所謂的網頁置換(將頁面置換成惡意攻擊者的頁面),那對公司商譽的損傷是難以彌補的,而這才是網站管理者最?心的情況。

要預防此種情況的發生,除了積極的修補系統漏洞外,換另一個角度思考,網頁被置換,其實就是一種系統檔案系統變動的動作,如果有個機制能夠即時監控系統的檔案系統變動的動作,一旦發現有異常的檔案系統動作,就即時地觸發相關事件,例如寄送電子郵件通知管理者,將可為系統提供更進一步的安全防護。

對此,本文將介紹Linux系統上可以監控系統檔案系統變動的Inotify機制(僅適用於Linux系統且核心版本需為2.6.13以上),並且搭配inotify-tool或是incron工具。接著,就來實作一個可即時監控系統變動動作的解決方案,所需套件如表1所示。

表1 實作所需套件

什麼是Inotify

Inotify是一種檔案系統附加的功能子系統,主要用來偵測當檔案系統發生變動時,例如當檔案(目錄)新增或修改事件發生等,觸發相關事件來通知應用 程式。

系統核心(Kernel)的版本必須是2.6.13之後,才支援Inotify子功能,使用者可利用下列指令來檢查系統是否支援Inotify子功能,如圖1所示。


▲圖1 檢查系統是否支援Inotify子功能。

如果執行結果為「CONFIG_INOTIFY_USER=y」,這就表示系統核心已支援Inotify子功能,使用者可以利用此項功能來監控系統上檔案系統的變化。

這裡要特別提出的一點是,Inotify子功能僅僅只能夠偵測實體的檔案或是目錄,而對於系統上的一些虛擬的目錄(通常此類目錄是用來存放系統上的裝置資訊,例如sysfs或procfs等等相關目錄)以 及網路檔案系統(Network File System,例如NFS檔案系統)是無法完整地偵測其檔案系統變動的 情形。

在確認系統核心已經支援相關功能之後,接下來先來定義幾個在Inotify機制上經常會使用到的名詞:

‧ 實例(Instances):可視為是一個監控作業,能夠將多個監控檔案或目錄的監控作業,以一個實例(Instances)來代表,在設定完成後,即會將相關的監控作業置入隊列(Queue)中等待系統的執行。

‧ 監看(Watches):即實際要監控系統中的某個檔案或目錄。

Inotify機制提供幾個相關組態檔(位於「/proc/sys/fs/inotify」目錄內)來調整Inotify所使用的預設值,相關說明如表2所示。

表2 Inotify相關組態檔使用說明

使用者可利用圖2中所示的指令,來取得目前系統上的相關預設值:



▲圖2 取得目前系統內相關的預設值。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!