Jak zainstalować TripWire (system wykrywania włamań) Linux

Bezpieczeństwo to jedna z najważniejszych kwestii, z którymi musimy się zmagać na co dzień, a to dlatego, że nie tylko w naszych organizacjach, ale także na poziomie osobistym mamy wiele plików i ustawień, które w przypadku niewłaściwego użycia mogą spowodować nieodwracalne szkody.

Znamy różne narzędzia, które mogą się przydać do monitorowania codziennego zachowania systemu i tym razem porozmawiamy o jednym w szczególności o nazwie Tripwire.

Co to jest TripWireTripWire to potężne i darmowe narzędzie, którego specyficzną funkcją jest wykrywanie włamań (IDS) który stale aktualizuje krytyczne pliki systemowe i raporty kontrolne w przypadku ich modyfikacji lub usunięcia przez hakera lub intruza.

TripWire wyśle ​​wiadomość do administratora systemu w przypadku awarii systemu. TripWire to narzędzie open source, które pozwoli informować obszar IT w przypadku jakiejkolwiek modyfikacji w systemie Linux, w tym przypadku Debian 8.

ten Podstawowa obsługa TripWire jest następująca:

• Najpierw narzędzie przeprowadza analizę i tworzy punkt odniesienia dla wszystkich krytycznych plików w zaszyfrowanym pliku, zwiększając bezpieczeństwo.

• Później monitoruje wszelkie anomalne zmiany i porównuje je z testem porównawczym, w tym między innymi takimi szczegółami jak data i godzina, uprawnienia.

Do tej analizy użyjemy zespołu z Debianem 8.

1. Zaktualizuj system

Najpierw wpiszemy polecenie:

 aktualizacja apt-get

Aktualizacja wszystkich pakietów dostępnych w systemie.

NotatkaDodajemy sudo w przypadku, gdy nie jesteś zalogowany jako użytkownicy root.

Na komputerach z CentOS 7 lub RHEL musimy wpisać polecenie:

 mniam aktualizacja

Dzięki temu zaktualizujemy pakiety.

2. Pobierz i zainstaluj TripWire

Po zaktualizowaniu systemu przystępujemy do wprowadzenia następującego polecenia, aby pobrać i zainstalować TripWire:

 apt-get install tripwire

W zespołach z CentOS 7 wpiszemy polecenie:

 mniam zainstaluj tripwire

Widzimy, że wyświetla się następujący kreator, w którym akceptujemy wiadomość:

Po zaakceptowaniu tego komunikatu wyświetla się następujące okno, w którym musimy określić, kiedy utworzyć klucze hasła. Tripwire.

Zobaczymy:

Naciskamy Akceptować i musimy skonfigurować klucz lokalny.

Kliknij Tak, a w następnym oknie zobaczymy ścieżkę, w której zostanie zapisana konfiguracja TripWire.

Następnie zobaczymy trasę wytycznych TripWire.

Kliknij wymaganą opcję, a proces instalacji będzie kontynuowany.

Później zobaczymy następujące okno, w którym musimy wprowadzić klucz strony dla TripWire.

Musimy potwierdzić hasło, a następnie wprowadzić hasło lokalne.

Potwierdzamy hasło i wreszcie widzimy, że instalacja została zakończona poprawnie.

Naciskamy Akceptować aby wyjść z kreatora. W przypadku, gdy kreator nie jest wyświetlany, musimy wprowadzić następujące informacje, aby skonfigurować zarówno klucze witryny, jak i klucze lokalne:

 twadmin -m G -L /etc/tripwire/dummy-local.key -S /etc/tripwire/site.key

Kluczem Strona.

3. Uruchom usługę TripWire

Po zainstalowaniu narzędzia TripWire przystępujemy do uruchomienia usługi za pomocą następującego polecenia:

 tripwire -init

I musimy wprowadzić lokalne hasło, które stworzyliśmy wcześniej.

Do tej pory widzieliśmy jak zainstalować i uruchomić Tripwire, kliknij następną stronę nieco poniżej, aby dowiedzieć się, jak to skonfigurować.

4. Zmodyfikuj plik konfiguracyjny Tripwire

Następnym krokiem jest skonfiguruj plik twpol.txt za pomocą edytora, który lubimy najbardziej.

W takim przypadku wpiszemy następujące polecenie:

 sudo nano /etc/tripwire/twpol.txt

Wyświetli się następujące okno:

Tam zlokalizujemy następujące wiersze:

Wiersze te są powiązane z bazą danych utworzoną wcześniej, gdy Usługa TripWire. Tam musimy włączyć te linie za pomocą ikony #, po prostu nie wybieramy następujących linii:

 /root/.bashrc /root/.bash_profile

W ten sam sposób musimy aktywować następujące linie:

Zmiany zapisujemy za pomocą kombinacji klawiszy:

Ctrl + O

I wychodzimy z edytora za pomocą kombinacji:

Ctrl + X

5. Modyfikuj szablony TripWire

Następnie wprowadzimy następującą ścieżkę do modyfikacji szablonu narzędzia:

 twadmin -m P /etc/tripwire/twpol.txt

Widzimy, że polityka plików została napisana poprawnie. Po skonfigurowaniu tych parametrów musimy ponownie użyć polecenia:

 tripwire -init

Aby zmiany zostały wprowadzone.

6. Weryfikacja TripWire

Aby zweryfikować parametry narzędzie tripwire wpiszemy następujące polecenie:

 tripwire -sprawdź

Możemy nieco bardziej rozwinąć tekst i znajdziemy w Podsumowanie reguł wierszy obiekty, które zostały przeskanowane przez narzędzie, oraz możliwe naruszenia lub wpływ na nie.

7. Automatyzacja raportów TripWire w Debianie 8

Jednym z parametrów, których używa TripWire, jak wspomnieliśmy wcześniej, jest to, że narzędzie tworzy punkt przywracania dla krytycznych plików.

Do tego możemy wykorzystać:

 crontab -e

Zobaczymy:

Na końcu konsoli musimy wprowadzić parametry, aby wykonać kopię zapasową informacji:

W ten sposób konfigurujemy, że drogą mailową będziemy otrzymywać powiadomienia o wszelkich zmianach w plikach.

Zmiany zapisujemy za pomocą kombinacji klawiszy Ctrl + O.

Jak widzieliśmy z narzędzie tripwire możemy liczyć na możliwość zapewnienia integralność i bezpieczeństwo plików naszych systemów Linux.

Audyt CentOS 7