Drošība ir viena no vissvarīgākajām problēmām, ar kuru mums jāsaskaras ikdienā, un tas ir tāpēc, ka ne tikai mūsu organizācijās, bet arī personīgā līmenī mums ir daudz failu un iestatījumu, kas ļaunprātīgas izmantošanas gadījumā var radīt neatgriezenisku kaitējumu.
Mēs zinām dažādus rīkus, kas var būt noderīgi, lai uzraudzītu sistēmas ikdienas uzvedību, un šoreiz mēs runāsim par vienu, ko sauc Tripwire.
Kas ir TripWireTripWire ir spēcīgs un bezmaksas rīks, kura īpašā funkcija ir ielaušanās noteikšana (IDS) kas pastāvīgi atjaunina kritiskos sistēmas failus un kontroles ziņojumus, ja hakeris vai iebrucējs tos ir mainījis vai izdzēsis.
Sistēmas kļūmes gadījumā TripWire nosūtīs ziņojumu sistēmas administratoram. TripWire ir atvērtā koda rīks, kas ļaus informēt IT zonu par jebkādām izmaiņām Linux sistēmā, šajā gadījumā Debian 8.
TripWire pamatdarbība ir šāds:
- Pirmkārt, rīks veic analīzi un izveido atskaites punktu visiem šifrētā failā esošajiem kritiskajiem failiem, palielinot drošību.
- Vēlāk tā uzrauga jebkādas anomālas izmaiņas un salīdzina tās ar etalonu, tostarp informāciju, piemēram, datumu un laiku, atļaujas.
Šai analīzei mēs izmantosim komandu ar Debian 8.
1. Atjaunināt sistēmu
Vispirms mēs ievadīsim komandu:
apt-get atjauninājumsLai atjauninātu visas sistēmā pieejamās pakotnes.
PiezīmeMēs izmantojam sudo, ja neesam pieteicies kā root lietotāji.
Datoros ar CentOS 7 vai RHEL mums jāievada komanda:
yum atjauninājumsTādējādi mēs atjaunināsim paketes.
2. Lejupielādējiet un instalējiet TripWire
Kad mums ir atjaunināta sistēma, mēs turpinām ievadīt šādu komandu, lai lejupielādētu un instalētu TripWire:
apt-get install tripwireKomandās ar CentOS 7 mēs ievadīsim komandu:
yum instalēt tripwire
Mēs redzam, ka tiek parādīts šāds vednis, kurā mēs pieņemam ziņojumu:
Kad šis ziņojums ir pieņemts, tiek parādīts šāds logs, kurā mums jānosaka, kad jāizveido paroles atslēgas. Tripwire.
Mēs redzēsim sekojošo:
Mēs nospiežam Akceptēt un mums jākonfigurē vietējā atslēga.
Noklikšķiniet uz Jā, un nākamajā logā mēs redzēsim ceļu, kurā tiks saglabāta TripWire konfigurācija.
Tālāk mēs redzēsim TripWire vadlīniju maršrutu.
Noklikšķiniet uz vajadzīgās opcijas, un instalēšanas process turpināsies.
Vēlāk mēs redzēsim šādu logu, kurā mums jāievada TripWire vietnes atslēga.
Mums jāapstiprina parole un pēc tam jāievada vietējā parole.
Mēs vēlreiz apstiprinām paroli un beidzot redzēsim, ka instalēšana ir pabeigta pareizi.
Mēs nospiežam Akceptēt lai izietu no vedņa. Ja vednis netiek parādīts, mums ir jāievada šāda informācija, lai konfigurētu gan vietni, gan vietējās atslēgas:
twadmin -m G -L /etc/tripwire/dummy-local.key -S /etc/tripwire/site.keyVietnes atslēga.
3. Sāciet pakalpojumu TripWire
Kad TripWire rīks ir instalēts, mēs sākam pakalpojumu, izmantojot šādu komandu:
tripwire -no sākumaUn mums jāievada iepriekš izveidotā vietējā parole.
Līdz šim mēs esam redzējuši kā instalēt un palaist Tripwire, noklikšķiniet uz nākamās lapas nedaudz zemāk, lai uzzinātu, kā to konfigurēt.
4. Mainīt Tripwire konfigurācijas failu
Nākamais solis ir konfigurēt twpol.txt failu izmantojot redaktoru, kas mums patīk visvairāk.
Šajā gadījumā mēs ievadīsim šādu komandu:
sudo nano /etc/tripwire/twpol.txtTiks parādīts šāds logs:
Tur mēs atradīsim šādas rindas:
Šīs rindas ir saistītas ar datubāzi, kas izveidota agrāk, kad Pakalpojums TripWire. Tur mums ir jāiespējo šīs līnijas, izmantojot ikonu #, mēs vienkārši neizvēlamies šādas rindas:
/aknis/.bashrc/sakne/.bash_profils
Tādā pašā veidā mums jāaktivizē šādas rindas:
Mēs saglabājam izmaiņas, izmantojot taustiņu kombināciju:
Ctrl + O
Un mēs atstājam redaktoru, izmantojot kombināciju:
Ctrl + X
5. Mainīt TripWire veidnes
Tālāk mēs ievadīsim šādu ceļu, lai mainītu rīka veidni:
twadmin -m P /etc/tripwire/twpol.txt
Mēs redzam, ka failu politika ir uzrakstīta pareizi. Kad šie parametri ir konfigurēti, mums atkal jāizmanto komanda:
tripwire -no sākumaLai izmaiņas tiktu veiktas.
6. TripWire verifikācija
Lai pārbaudītu parametrus tripwire rīks mēs ievadīsim šādu komandu:
tripwire -pārbaudiet
Mēs varam nedaudz paplašināt tekstu, un mēs to atradīsim Rindas noteikumu kopsavilkums par objektiem, kurus rīks ir skenējis, un iespējamiem pārkāpumiem vai ietekmi uz tiem.
7. Automatizējiet TripWire atskaites Debian 8
Viens no parametriem, ko izmanto TripWire, kā mēs jau minējām iepriekš, ir tas, ka rīks izveido kritisko failu atjaunošanas punktu.
Šim nolūkam mēs varam izmantot sekojošo:
crontab -eMēs redzēsim sekojošo:
Konsoles beigās mums jāievada parametri, lai dublētu informāciju:
Tādā veidā mēs konfigurējam, ka pa e -pastu mēs saņemam paziņojumus par jebkādām izmaiņām failos.
Mēs saglabājam izmaiņas, izmantojot taustiņu kombināciju Ctrl + O.
Kā mēs esam redzējuši ar tripwire rīks mēs varam paļauties uz iespēju nodrošināt mūsu Linux sistēmu failu integritāti un drošību.
CentOS 7 audits
