리눅스마스터1급 : 시스템 보안 관련 유틸리티 및 명령어 : tripwire

[sulinux@sulinux ~]# rpm –qa | grep tripwire

[sulinux@sulinux ~]# rpm -Uvh tripwire-2.4.2.2-1.el5.i386.rpm

[sulinux@sulinux ~]# tripwire-setup-keyfiles

----------------------------------------------

The Tripwire site and local passphrases are used to sign a variety of

files, such as the configuration, policy, and database files.

Passphrases should be at least 8 characters in length and contain both

letters and numbers.

See the Tripwire manual for more information.

----------------------------------------------

Creating key files...

(When selecting a passphrase, keep in mind that good passphrases typically

have upper and lower case letters, digits and punctuation marks, and are

at least 8 characters in length.)

Enter the site keyfile passphrase:

Enter the site keyfile passphrase:

Verify the site keyfile passphrase:

Generating key (this may take several minutes)...Key generation complete.

(When selecting a passphrase, keep in mind that good passphrases typically

have upper and lower case letters, digits and punctuation marks, and are at least 8 characters in length.)

Enter the local keyfile passphrase:

Verify the local keyfile passphrase:

Generating key (this may take several minutes)...Key generation complete

----------------------------------------------

Signing configuration file...

Please enter your site passphrase:

Wrote configuration file: /etc/tripwire/tw.cfg

A clear-text version of the Tripwire configuration file:

/etc/tripwire/twcfg.txt

has been preserved for your inspection. It is recommended that you

move this file to a secure location and/or encrypt it in place (using a

tool such as GPG, for example) after you have examined it.

----------------------------------------------

Signing policy file...

Please enter your site passphrase:

Wrote policy file: /etc/tripwire/tw.pol

A clear-text version of the Tripwire policy file:

/etc/tripwire/twpol.txt

has been preserved for your inspection. This implements a minimal

policy, intended only to test essential Tripwire functionality. You

should edit the policy file to describe your system, and then use

twadmin to generate a new signed copy of the Tripwire policy.

Once you have a satisfactory Tripwire policy file, you should move the

clear-text version to a secure location and/or encrypt it in place

(using a tool such as GPG, for example).

Now run "tripwire --init" to enter Database Initialization Mode. This

reads the policy file, generates a database based on its contents, and

then cryptographically signs the resulting database. Options can be

entered on the command line to specify which policy, configuration, and

key files are used to create the database. The filename for the

database can be specified as well. If no options are specified, the

default values from the current configuration file are used.

[sulinux@sulinux ~]# /usr/sbin/tripwire --init

Please enter your local passphrase:

Parsing policy file: /etc/tripwire/tw.pol

Please enter your local passphrase:

Parsing policy file: /etc/tripwire/tw.pol

....

Wrote database file: /var/lib/tripwire/SULinux.twd

The database was successfully generated.

[sulinux@sulinux ~]# /usr/sbin/tripwire --check

Parsing policy file: /etc/tripwire/tw.pol

*** Processing Unix File System ***

Performing integrity check...

[sulinux@sulinux ~]# /usr/sbin/tripwire --update

[sulinux@sulinux ~]# /usr/sbin/tripwire –m u

[sulinux@sulinux ~]# /usr/sbin/tripwire --update-policy /etc/tripwire/policyfile.txt

[sulinux@sulinux ~]# /usr/sbin/tripwire –m p /etc/tripwire/policyfile.txt

[sulinux@sulinux ~]# /usr/sbin/twadmin --creat-polfile /etc/tripwire/newpol.txt

ROOT =/usr/sbin

POLFILE =/etc/tripwire/tw.pol

DBFILE =/var/lib/tripwire/$(HOSTNAME).twd

REPORTFILE =/var/lib/tripwire/report/$(HOSTNAME)-$(DATE).twr

SITEKEYFILE =/etc/tripwire/site.key

LOCALKEYFILE =/etc/tripwire/$(HOSTNAME)-local.key

EDITOR =/bin/vi

LATEPROMPTING =false

LOOSEDIRECTORYCHECKING =false

MAILNOVIOLATIONS =true

EMAILREPORTLEVEL =3

REPORTLEVEL =3

MAILMETHOD =SENDMAIL

SYSLOGREPORTING =false

MAILPROGRAM =/usr/sbin/sendmail -oi -t

변수명

설명

필

수

요

소

POLFILE

• 정책 파일의 위치 지정

• 기본 설정: /etc/tripwire/tw.pol

DBFILE

• 데이터베이스 파일의 위치지정

• 기본 설정 : /etc/tripwire/$(HOSTNAME).twd

REPORTFILE

• 실행후 생성된 결과 파일 위치 지정

• 기본 설정 : /var/lib/report/$(HOSTNAME)-$(DATE).twr

STIEKEYFILE

• site keyfile 위치 지정

• 기본 설정 : /etc/tripwire/site.key

LOCALKEYFILE

• local keyfile 위치 지정

• 기본 설정 : /etc/tripwire/$(HOSTNAME-local.key

선

택

요

소

EDITOR

• 사용하고자하는 편집기의 위치

• 기본 설정 : /bin/vi

LATEPROMPTING

• tripwire가 마지막에 패스워드를 요구하도록설정

• 기본설정 : fales

SYSLOGREPORTING

• SYSLOGREPORTING이 ture로 설정 되면 data base intialization, integrity checks, data base updates, and policy file 등의 update를 syslog에 알림

• 기본 설정 : true

LOOSEDIRECTORYCHECKING

• 디렉토리 변경사항이 있는지 출력해야 하는 것을 나타냄. 설정되어 있지 않으며 변화된 파일뿐아니라. 그파일이 있는 디렉토리도 결과에 출력되고, 설정되면 파일의 변화만 출력함

• 기본 설정 : false

REPORITLEVEL

• tripwire –preint-report 명령으로 report를 출력할 때의 레벨로 0~4까지 레포트레벨이 있음

• 기본 설정 3

이

메

일

경

고

요

소

MAILNOVIOLATIONS

• 무결성검사시 아무런 변화가 없을때에도 이메일 경고를 할지 나타냄

• 기본 설정 : ture

EMAILREPORTLEVEL

• email report level로 0~4

• 기본설정 : 3

MAILMETHOD

• 이메일 경고를 위해 사용할 protocol 명시

• 기본설정 : SENDMAIL

MAILPRORAM

• 특정 메일 프로그램의 위치 지정

• 기본설정 : /usr/sbin/sendmail –oi -t

정책 파일 구성요소

설명

Rules

정책 파일의 기본 구성요소로 무결성 검사시 시스템의 객체에 대해 모니터 할 Properity를 명시해 주는것

Stop points

무결성 검사시 스캔하지 않을 시스템의 객체 명시

Attributs

이메일을 보내거나 Recursion을 조정하는 Rules

Driective

하나의 정책 파일을 네트워크 서버에서 사용할 경우

Variable

관리자가 편리하게 정보를 바꾸도록 설정

Object name -> property mask

/etc -> +mylove;

/etc -> $(mask1);

/etc/passwd ->$(mask);

property

설명

-

표시된 특성을 무시함

+

표시된 특성을 사용함

p

파일 퍼미션

i

아이노드 번호

n

링크의 수(아이노드 참조개수)

u

소유자의 UID

g

소유자의 GID

t

파일 타입

s

파일 크기

d

파일과 연관된 아이노드가 저장된 디스크 장치 번호

r

아이노드가 지시하는 장치 번호 또는 장치에 대해서만 유효

b

할당된 블럭의 수

m

수정시간의 타임스템프

c

아이노드 생성 및 수정에 대한 타임스탬프

I

파일이 늘어나야 하는 파일에 대한 지속적 증가에 대한 속성

만약에 파일이 마지막 기록된 크기보다 작으면 해당 속성에 대한 위반이된다.

이것은 log파일의 무결성을 검사하는 데 유용하다.

a

액세스 시간에 대한 타임스탬프

+a property는 hash propertis(+CMSH) 와 충돌한다.

해시를 계산하기 위해 파일을 읽어드려야하는데 이때 엑세스 타임이 변경된다.

C

CRC-32, POSIX,1003.2에 따르는 32bit cyclic redundany check. 상대적으로 높은 성능을 내지만 그와 반비례하여 보안 수준은 상대적으로 낮아진다.

M

MD5, RSA Data security ,inc에서 개발한 message digest 알고리즘을 사용하여 상대적으로 높은 보안 수준의 hash를 선택한다.

S

SHA, SHS,/SHA 알고리즘을 사용하여 상대적으로 높은 보안 수준의 hash를 선택한다.

H

HAVAL 128bit signature 알고리즘을 사용하여 상대적으로 높은 보안 수준의 hash를 선택한다.

! object name

/ ->$(Readonly) -ar;

!/home

Attribute

설명

rulename

rulename 과 규칙을 연결한다.

기본설정은 각 규칙이 적용되는 object name의 마지막 element이다.

emailto

정책위반에 대한 경고를 위해 보내어질 이메일 주소를 지정한다.

기본설정 : none

severtiy

정책에 대한 적용의 엄격성을 수치적인 level로 표현하다.

기본설정 : 0

설정 값의 범위 : 0 ~ 1000000

recurse

디렉토리 스캔을 위한 재귀적인 스캐닝을 제어한다

-1 은 ture, 0은 false를 의미하며 0이상의 수치적인 값은 유효한 값이된다.

기본 설정 : true

변수 = 값;

variable

설명

ReadOnly

해당 변수는 전역 설정이 가능하지만 read-only로 적용된 파일들을 점검하는데 좋다.

Expands to : +pinugsmtdbCM-raclSH

Dynamic

해당 변수는 변경이 잦은 사용자 디렉토리나 파일들을 점검하는데 좋다

Expands to : +pinugtd-rsacmblCMSH

Growing

해당변수는 로그파일처럼 늘어나지만 줄지 않는 파일을 점검하는데 좋다.

Expands to : +pnugtdl-rsacmbCMSH

IgnoreAll

해당 변수는 파일이 있는지 없는지는 점검하지만 다른 특성들에 대해서는 점검하지 않는다.

Expands to : -pinusgamctdrblCMSH

IgnoreNone*

해당 변수는 모든 특성들을 점검하도록 한다.

그리고 사용자가 지정한 property mask대한 starting point를 제공한다.

Expands to : +pinusgamctdrbCMSH-I

Device

해당 변수는 tripwire가 접근하지 말아야할 device나 파일에 들 대한 변수 이다.

Expands to : +pugsdr-intlbamcCMSH