安装和配置Tripwire 加强你的Linux系统安全

               

1、为什么要安装 tripwire
在安装完 Linux，做好设定后，建议你马上安装 tripwire 这套软件，它能把文件的特征，如对象大小、拥有者、群组、存取权限等建立成指纹数据库(fingerprints)，并定期执行检查。当发现文件现况与指纹数据库不符合时，tripwire 会提出警告，告知你哪些项目与指纹数据库不符。 <?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

2、安装程序

说明：本文档使用的linux发行版本为RedHat Linux 7.3。其他的发行版本设置类似。

1.       安装套件：rpm -Uvh tripwire-版本号码.rpm

2.       切换工作目录到 /etc/tripwire，其中有两个配置文件：

§         twcfg.txt:可用来设定 tripwire 的工作环境，可依照你的习惯来调整，

§         twpol.txt：指定 tripwire 对哪些文件的哪些项目进行监控。

3.       预设的 twcfg.txt其中

ROOT                   =/usr/sbin

POLFILE                =/etc/tripwire/tw.pol

DBFILE                 =/var/lib/tripwire/$(HOSTNAME).twd

REPORTFILE             =/var/lib/tripwire/report/$(HOSTNAME)-$(DATE).twr

SITEKEYFILE            =/etc/tripwire/site.key

LOCALKEYFILE           =/etc/tripwire/$(HOSTNAME)-local.key

EDITOR                 =/bin/vi

LATEPROMPTING          =false

LOOSEDIRECTORYCHECKING =false

MAILNOVIOLATIONS       =true

EMAILREPORTLEVEL       =3

REPORTLEVEL            =3

MAILMETHOD             =SENDMAIL

SYSLOGREPORTING        =false

MAILPROGRAM            =/usr/sbin/sendmail -oi -t

§         DBFILE 为指纹数据库之文件名。

§         REPORTFILE 为检测报告档之档名。

4.       再来看看 twpol.txt，我们可以设定它来指定 tripwire 对哪些文件的 哪些项目进行监控。tripwire 可监控的项目可在 twpolicy 的 man page 中， 『property masks』一节内找到，如下所示： 

-     Ignore the following properties

    +     Record and check the following properties

a     Access timestamp

b     Number of blocks allocated

 c     Inode timestamp (create/modify)

 d     ID of device on which inode resides

       g     File owner's group ID

 i     Inode number

 l     File is increasing in size (a "growing file")

m     Modification timestamp

        n     Number of links (inode reference count)

           p     Permissions and file mode bits

            r     ID of device pointed to by inode

                  (valid only for device objects)

            s     File size

            t     File type

            u     File owner's user ID

            C     CRC-32 hash value

            H     Haval hash value

            M     MD5 hash value

S     SHA hash value

其中『+』与『-』容后说明。

5.       如何要求 tripwire 监控某些文件呢？Red Hat 所附的 twpol.txt 已把重要的配置文件与程序行入监控的范围，你可以找到如附 图内的这一段：(

（

  rulename = "Security Control",

  severity = $(SIG_HI)

)

{

 /etc/group                           -> $(SEC_CRIT) ;

 /etc/security                         -> $(SEC_CRIT) ;

}