基于內核的入侵檢測是一種相當巧妙的新型的Linux入侵檢測系統(tǒng)。現(xiàn)在最主要的基于內核的入侵檢測系統(tǒng)叫做LIDS。

　　什么是LIDS？LIDS是一種基于Linux內核的入侵檢測和預防系統(tǒng)。

　　LIDS的保護目的是防止超級用戶root的篡改系統(tǒng)重要部分的。LIDS主要的特點是提高系統(tǒng)的安全性，防止直接的端口連接或者是存儲器連接，防止原始磁碟的使用，同時還要保護系統(tǒng)日志文件。LIDS當然也會適當制止一些特定的系統(tǒng)操作，譬如：安裝sniffer、修改防火墻的配置文件。

　　LIDS文檔工程

　　LIDS比安裝PortSentry和LogCheck要復雜一點，但是很幸運的是，在LIDS的主頁上面有詳細的安裝和配置手冊。

　　安裝LIDS

　　首先，在安裝之前，我們需要大部分最新的LIDS軟件包（我使用的是0.9）和適當?shù)膬群税姹尽Ｎ椰F(xiàn)在使用的是從Red Hat主頁上下載的2.2.14-12版本的內核，因為其中包含一些安全補丁。同時你也需要你使用的內核的一些源代碼。

　　現(xiàn)在的LIDS主要是適用于2.2.14版本的內核。我安裝的在2.2.14的內核的Red Hat Linux 6.2上面安裝了LIDS。在安裝LIDS之前，我在ftp.redhat.com下載了最新的內核版本，并且依照http://www.redhat.com/support/docs/howto/kernel-upgrade/kernel-upgrade.html 安裝了這個內核。

　　接著的事情就是升級內核源代碼。這里我們是這樣做的：

　　rpm -Uhv kernel-source-2.2.14-12.i386.rpm然后就是編譯和安裝lidsadm這個程序：

　　cd /usr/local/src/security/lids-0.9/lidsadm-0.9make

　　make install

　　生成一個RipeMD-160口令，這個以后將會在安裝進內核的：

　　lidsadm -P輸入口令是"anypass"，得到秘鑰"d502d92bfead11d1ef17887c9db07a78108859e8"。接著，我把Redhat的配置文件拷貝到我的結構體系中，在/usr/src/linux目錄下面：

　　cd /usr/src/linux/configs/

　　cp kernel-2.2.12-i686.config ..

　　下面我們就使用下面的命令來安裝LIDS：

　　cd /usr/src

　　patch -p0 同時我們應該注意到Red Hat所提供的內核和Linus發(fā)布的標準的2.2.14版本的內核有一些細微的差別，因為其中包含一些修改過的驅動程序。同樣lids-0.9-2.2.14-redhat.patch文件也是和LIDS發(fā)布的標準的lids-0.9-2.2.14.patch有一些細微的差別，不過可能后者并不是特別適合于Red Hat系統(tǒng)。

　　最后，就是配置、編譯和安裝內核了：

　　cd /usr/src/linuxmake menuconfig

　　make dep; make clean

　　make

　　install; make modules; make modules_install

　　下面的腳本展示了在配置內核的過程中我設置的LIDS配置選項：

　　[*] Linux Intrusion Detection System support (EXPERIMENTAL)--- LIDS features

　　[ ] Hang up console when raising a securit alert

　　[*] Security alert when execing unprotected programs before sealing

　　[ ] Do not execute unprotected programs before sealing LIDS

　　[*] Enable init children lock feature

　　[*] Try not to flood logs

　　(60) Authorised time between two identic logs (seconds)

　　[*] Allow switching LIDS protections

　　RipeMD-160 encrypted password: d502d92bfead11d1ef17887c9db07a78108859e8

　　(3) Number of attempts to submit password

　　(3) Time to wait after a fail (seconds)

　　[*] Allow remote users to switch LIDS protections

　　[ ] Allow any program to switch LIDS protections

　　[*] Allow reloading config. file

　　[ ] Hide some known processes

　　[*] Port Scanner Detector in kernel

　　[ ] Send security alerts through network

　　--- Special authorizations

　　[ ] Allow some known processes to access /dev/mem (xfree, etc.)

　　[ ] Allow some known processes to access raw disk devices

　　[ ] Allow some known processes to access io ports

　　[ ] Allow some known processes to change routes

　　--- Special UPS

　　[*] Allow some known processes to unmount devices

　　Allowed processes: "/etc/rc.d/init.d/halt;/etc/rc.d/init.d/netfs"

　　[*] Unmounting capability is inherited

　　[*] Allow some known processes to kill init children

　　Allowed processes: "/etc/rc.d/init.d/halt"

　　[*] Killing capability is inherited

　　看得出，我沒有使用UPS，同時運行的是一個需要能夠遠程訪問的服務器，我就按照上面的文件進行了配置，但是在實際應用過程中，每個人的系統(tǒng)根據(jù)環(huán)境不一樣，會有一些差別。