记一次生产环境脚本入侵检测与报警案例（检测特定目录被改动，自动报警）

需求 ： 特定目录，改动之后，自动报警。

转载来源 ： 记一次生产环境脚本入侵检测与报警案例（简易版入侵检测系统） ： http://www.safebase.cn/article-259102-1.html

概述

因业务需要，需监控某web站点目录下所有文件是否被恶意篡改（文件内容被改了），如果有就打印改动的文件名（发邮件），定时任务每3分钟执行一次。

下面简单介绍下实现过程。

一、生成md5验证文件

1、文件的校验文件

find /var/html/www/* -type f |xargs md5sum >/tmp/check/web_file_check.md5sum

2、目录的校验文件

tree /var/html/www/ -d >/tmp/check/web_dir_check.txt
md5sum /tmp/check/web_dir_check.txt
md5sum /tmp/check/web_dir_check.txt >/tmp/check/web_dir_check.md5sum

二、邮箱

Sendmail配置发送邮件的邮箱认证信息

vi /etc/mail.rc

--- 增加如下内容 ---
set from=yourname@your-domain.com
set smtp=mail.your-domain.com
set smtp-auth-user=yourname
set smtp-auth-password=yourpasswd
set smtp-auth=login

三、脚本内容

#!/bin/bash
#############################################################
# File Name: web_file_check.sh
# 前提： yum install -y tree
#############################################################

Dir=/tmp/check/
Web_Dir=/tmp/html/
Check_File1=/tmp/check/web_file_check.md5sum
Check_File2=/tmp/check/web_dir_check.md5sum
Check_Dir=/tmp/check/web_dir_check.txt
Check_Out=/tmp/check/check_out.md5sum
Mail_info=/tmp/check/mail.txt

Date=`date +%F_%T`
Host_Name=`hostname`
Host_IP=`hostname -I`
Email_Addr=huangwb@fslgz.com

echo "=========================inital============================"
[ -d $Dir ] || mkdir -p $Dir
if [ ! -f $Check_File1 ] 
 then 
 find /tmp/html/* -type f |xargs md5sum >/tmp/check/web_file_check.md5sum
elif [ ! -f $Check_File2 ]
 then 
 tree /tmp/html/ -d >/tmp/check/web_dir_check.txt
 md5sum /tmp/check/web_dir_check.txt
 md5sum /tmp/check/web_dir_check.txt >/tmp/check/web_dir_check.md5sum
fi

echo "========================check_out============================"
md5sum -c $Check_File1 >$Check_Out 2>/dev/null
Back_num1=$?
tree -d $Web_Dir >$Check_Dir
md5sum -c $Check_File2 &>/dev/null
Back_num2=$?

echo "======================开始校验并触发告警====================="
if [ $Back_num1 -ne 0 ]
 then
 echo "发生主机：$Host_Name 主机IP地址：$Host_IP" > $Mail_info
 echo "在 $Date 的检测中发现以下文件被篡改" >>$Mail_info
 echo "==================================================" >>$Mail_info 
 egrep -i "失败|failed" $Check_Out >>$Mail_info
 echo "==================================================" >>$Mail_info 
 echo "请尽快登陆服务器进行处理！！！" >>$Mail_info
 
 mail -s "【警告】web站点文件被篡改" -a $Check_File1 $Email_Addr <$Mail_info
fi

if [ $Back_num2 -ne 0 ]
 then
 echo "目录检测信息" >$Mail_info
 echo "在 $Date 的检测中发现目录被篡改" >>$Mail_info
 mail -s "【警告】web站点目录被篡改" -a $Check_Dir $Email_Addr<$Check_Dir
fi

四、测试

删除文件后执行结果

查看邮件：