はじめての自宅サーバ構築 - Fedora/CentOS -
Last Update 2018/05/30
[ 更新履歴 ] [ サイト マップ ] [ 質問掲示板 ] [ 雑談掲示板 ] [ リンク ]
■ トップ >> セキュリティ強化 >> ファイル改竄検知システムの導入(Tripwire)
動作確認　[ FC1 / FC2 / FC3 / FC4 / FC5 / FC6 / Fedora7 / Fedora8 / Fedora9 / Fedora10 / Fedora11 / Fedora12 / Fedora13 / Fedora14 / Fedora16 / Fedora17 / CentOS4 ]
  1. tripwireとは・・・
  2. tripwireのインストール
    FedoraCore1 の場合
    FedoraCore2 の場合
    FedoraCore3 の場合
    FedoraCore4 以降の場合
    CentOS4 の場合
  3. tripwireの初期設定
  4. tripwireの設定
  5. tripwireのポリシーファイル設定
  6. tripwireのデータベース作成
  7. tripwireチェック
  8. tripwireの自動チェック化

■ tripwireとは・・・

Tripwireとは、ファイル改竄などを検出するためのツールです。
具体的にはファイルの「前の状態のファイル」と「現時点のファイル」の内容や属性を突き合わせ、現時点のファイルに何らかの変更点があったかどうかを調査します。

■ tripwireのインストール

■ FedoraCore1 の場合

tripwireのダウンロード
# wget ftp://ftp.pbone.net/mirror/download.fedora.us/fedora/fedora/1/i386/RPMS.testing/tripwire-2.3.1-20.fdr.1.1.i386.rpm
--16:10:33--  ftp://ftp.pbone.net/mirror/download.fedora.us/fedora/fedora/1/i386/RPMS.testing/tripwire-2.3.1-20.fdr.1.1.i386.rpm
           => `tripwire-2.3.1-20.fdr.1.1.i386.rpm'
ftp.pbone.net をDNSに問いあわせています... 完了しました。
ftp.pbone.net[85.14.85.4]:21 に接続しています... 接続しました。
anonymous としてログインしています... ログインしました!
==> SYST ... 完了しました。    ==> PWD ... 完了しました。
==> TYPE I ... 完了しました。  ==> CWD /mirror/download.fedora.us/fedora/fedora/1/i386/RPMS.testing ... 完了しました。
==> PASV ... 完了しました。    ==> RETR tripwire-2.3.1-20.fdr.1.1.i386.rpm ... 完了しました。
長さ: 1,516,434 (確証はありません)

100%[====================================>] 1,516,434     69.28K/s    ETA 00:00

16:11:01 (69.28 KB/s) - `tripwire-2.3.1-20.fdr.1.1.i386.rpm' を保存しました [1516434]


tripwireのインストール
# rpm -Uvh tripwire-2.3.1-20.fdr.1.1.i386.rpm
警告: tripwire-2.3.1-20.fdr.1.1.i386.rpm: V3 DSA signature: NOKEY, key ID 8df56d05
Preparing...                ########################################### [100%]
   1:tripwire               ########################################### [100%]

■ FedoraCore2 の場合

tripwireのダウンロード
# wget ftp://ftp.pbone.net/mirror/download.fedora.us/fedora/fedora/2/i386/RPMS.testing/tripwire-2.3.1-20.fdr.1.2.i386.rpm
--21:15:31--  ftp://ftp.pbone.net/mirror/download.fedora.us/fedora/fedora/2/i386/RPMS.testing/tripwire-2.3.1-20.fdr.1.2.i386.rpm
           => `tripwire-2.3.1-20.fdr.1.2.i386.rpm'
ftp.pbone.net をDNSに問いあわせています... 完了しました。
ftp.pbone.net[85.14.85.4]:21 に接続しています... 接続しました。
anonymous としてログインしています... ログインしました!
==> SYST ... 完了しました。    ==> PWD ... 完了しました。
==> TYPE I ... 完了しました。  ==> CWD /mirror/download.fedora.us/fedora/fedora/2/i386/RPMS.testing ... 完了しました。
==> PASV ... 完了しました。    ==> RETR tripwire-2.3.1-20.fdr.1.2.i386.rpm ... 完了しました。
長さ: 1,561,604 (確証はありません)

100%[====================================>] 1,561,604     81.48K/s    ETA 00:00

21:15:55 (81.48 KB/s) - `tripwire-2.3.1-20.fdr.1.2.i386.rpm' を保存しました [1561604]


tripwireのインストール
# rpm -Uvh tripwire-2.3.1-20.fdr.1.2.i386.rpm
警告: tripwire-2.3.1-20.fdr.1.2.i386.rpm: V3 DSA signature: NOKEY, key ID 8df56d05
Preparing...                ########################################### [100%]
   1:tripwire               ########################################### [100%]

■ FedoraCore3 の場合

tripwireのダウンロード
# wget ftp://ftp.pbone.net/mirror/download.fedora.us/fedora/fedora/3/i386/RPMS.extras/tripwire-2.3.1-21.i386.rpm
--02:47:08--  ftp://ftp.pbone.net/mirror/download.fedora.us/fedora/fedora/3/i386/RPMS.extras/tripwire-2.3.1-21.i386.rpm
           => `tripwire-2.3.1-21.i386.rpm'
ftp.pbone.net をDNSに問いあわせています... 85.14.85.4
ftp.pbone.net[85.14.85.4]:21 に接続しています... 接続しました。
anonymous としてログインしています... ログインしました!
==> SYST ... 完了しました。    ==> PWD ... 完了しました。
==> TYPE I ... 完了しました。  ==> CWD /mirror/download.fedora.us/fedora/fedora/3/i386/RPMS.extras ... 完了しました。
==> PASV ... 完了しました。    ==> RETR tripwire-2.3.1-21.i386.rpm ... 完了しました。
長さ: 2,154,652 (確証はありません)

100%[====================================>] 2,154,652    101.08K/s    ETA 00:00

02:47:52 (52.36 KB/s) - `tripwire-2.3.1-21.i386.rpm' saved [2,154,652]


tripwireのインストール
# rpm -Uvh tripwire-2.3.1-21.i386.rpm
警告: tripwire-2.3.1-21.i386.rpm: V3 DSA signature: NOKEY, key ID 1ac70ce6
Preparing...                ########################################### [100%]
   1:tripwire               ########################################### [100%]

■ FedoraCore4 以降の場合

tripwireのインストール
# yum -y install tripwire

■ CentOS4 の場合

tripwireのダウンロード
# wget ftp://ftp.pbone.net/mirror/ftp.silfreed.net/repo/rhel/4/i386/silfreednet/RPMS/tripwire-2.3.1-22.el4.i386.rpm
--13:50:01--  ftp://ftp.pbone.net/mirror/ftp.silfreed.net/repo/rhel/4/i386/silfreednet/RPMS/tripwire-2.3.1-22.el4.i386.rpm
           => `tripwire-2.3.1-22.el4.i386.rpm'
ftp.pbone.net をDNSに問いあわせています... 193.25.186.51
ftp.pbone.net|193.25.186.51|:21 に接続しています... 接続しました。
anonymous としてログインしています... ログインしました!
==> SYST ... 完了しました。    ==> PWD ... 完了しました。
==> TYPE I ... 完了しました。  ==> CWD /mirror/ftp.silfreed.net/repo/rhel/4/i386/silfreednet/RPMS ... 完了しました。
==> PASV ... 完了しました。    ==> RETR tripwire-2.3.1-22.el4.i386.rpm ... 完了しました。
長さ: 2,570,225 (2.5M) (確証はありません)

100%[====================================>] 2,570,225    125.92K/s    ETA 00:00

13:50:53 (57.86 KB/s) - `tripwire-2.3.1-22.el4.i386.rpm' を保存しました [2570225]


tripwireのインストール
# rpm -ivh tripwire-2.3.1-22.el4.i386.rpm
警告: tripwire-2.3.1-22.el4.i386.rpm: V3 DSA signature: NOKEY, key ID ed00d312
Preparing...                ########################################### [100%]
   1:tripwire               ########################################### [100%]

■ tripwireの初期設定

tripwireの初期設定
# tripwire-setup-keyfiles

----------------------------------------------
The Tripwire site and local passphrases are used to sign a  variety  of
files, such as the configuration, policy, and database files.

Passphrases should be at least 8 characters in length and contain  both
letters and numbers.

See the Tripwire manual for more information.

----------------------------------------------
Creating key files...

(When selecting a passphrase, keep in mind that good passphrases typically
have upper and lower case letters, digits and punctuation marks, and are
at least 8 characters in length.)

サイトパスフレーズを入力(任意)
Enter the site keyfile passphrase:
確認の為、上記のサイトパスフレーズを再入力
Verify the site keyfile passphrase:
Generating key (this may take several minutes)...Key generation complete.

(When selecting a passphrase, keep in mind that good passphrases typically
have upper and lower case letters, digits and punctuation marks, and are
at least 8 characters in length.)

ローカルパスフレーズを入力(任意)
Enter the local keyfile passphrase:
確認の為、上記のローカルパスフレーズを再入力
Verify the local keyfile passphrase:
Generating key (this may take several minutes)...Key generation complete.

----------------------------------------------
Signing configuration file...
サイトパスフレーズを入力
Please enter your site passphrase:
Wrote configuration file: /etc/tripwire/tw.cfg

A clear-text version of the Tripwire configuration file:
/etc/tripwire/twcfg.txt
has been preserved for your inspection.  It  is  recommended  that  you
move this file to a secure location and/or encrypt it in place (using a
tool such as GPG, for example) after you have examined it.


----------------------------------------------
Signing policy file...
サイトパスフレーズを入力
Please enter your site passphrase:
Wrote policy file: /etc/tripwire/tw.pol

A clear-text version of the Tripwire policy file:
/etc/tripwire/twpol.txt
has been preserved for  your  inspection.  This  implements  a  minimal
policy, intended only to test  essential  Tripwire  functionality.  You
should edit the policy file to  describe  your  system,  and  then  use
twadmin to generate a new signed copy of the Tripwire policy.

Once you have a satisfactory Tripwire policy file, you should move  the
clear-text version to a secure location  and/or  encrypt  it  in  place
(using a tool such as GPG, for example).

Now run "tripwire --init" to enter Database Initialization  Mode.  This
reads the policy file, generates a database based on its contents,  and
then cryptographically signs the resulting  database.  Options  can  be
entered on the command line to specify which policy, configuration, and
key files are used  to  create  the  database.  The  filename  for  the
database can be specified as well. If no  options  are  specified,  the
default values from the current configuration file are used.

■ tripwireの設定

設定ファイルの編集
# vi /etc/tripwire/twcfg.txt
ROOT                   =/usr/sbin
POLFILE                =/etc/tripwire/tw.pol
DBFILE                 =/var/lib/tripwire/$(HOSTNAME).twd
レポートファイル名変更
REPORTFILE             =/var/lib/tripwire/report/$(HOSTNAME).twr
SITEKEYFILE            =/etc/tripwire/site.key
LOCALKEYFILE           =/etc/tripwire/$(HOSTNAME)-local.key
EDITOR                 =/bin/vi
LATEPROMPTING          =false
ファイル変更検知時に所属ディレクトリまで変更検知しない
LOOSEDIRECTORYCHECKING =true
ファイル変更検知時にメールする
MAILNOVIOLATIONS       =false
メール時のレポートレベル
EMAILREPORTLEVEL       =4
レポートレベル
REPORTLEVEL            =4
MAILMETHOD             =SENDMAIL
SYSLOGREPORTING        =false
MAILPROGRAM            =/usr/sbin/sendmail -oi -t

設定ファイルの暗号化
# twadmin --create-cfgfile -S /etc/tripwire/site.key /etc/tripwire/twcfg.txt
サイトパスフレーズを入力
Please enter your site passphrase:
Wrote configuration file: /etc/tripwire/tw.cfg


暗号化されたファイルを通常ファイルに戻す場合は以下のコマンドを入力します
# twadmin --print-cfgfile > /etc/tripwire/twcfg.txt

■ tripwireのポリシーファイル設定

ポリシーファイル作成スクリプト作成
# vi /etc/tripwire/twpolmake.pl
#!/usr/bin/perl
# Tripwire Policy File customize tool for Redhat 8.0
# ----------------------------------------------------------------
# Copyright (C) 2003 Hiroaki Izumi
# This program is free software; you can redistribute it and/or
# modify it under the terms of the GNU General Public License
# as published by the Free Software Foundation; either version 2
# of the License, or (at your option) any later version.
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
# GNU General Public License for more details.
# You should have received a copy of the GNU General Public License
# along with this program; if not, write to the Free Software
# Foundation, Inc., 59 Temple Place - Suite 330, Boston, MA  02111-1307, USA.
# ----------------------------------------------------------------
# Usage:
#    perl tripwire_pol.pl {Pol file}
# --------------------------------------------------------
#
$POLFILE=$ARGV[0];

open(POL,"$POLFILE") or die "open error: $POLFILE" ;
my($myhost,$thost) ;
my($sharp,$tpath,$cond) ;
my($INRULE) = 0 ;

while (<POL>) {
        chomp;
        if (($thost) = /^HOSTNAMEs*=\s*(.+)\s*;/) {
                $myhost = `hostname` ; chomp($myhost) ;
                if ($thost ne $myhost) {
                        $_="HOSTNAME=$myhost;" ;
                }
        }
        elsif ( /^{/ ) {
                $INRULE=1 ;
        }
        elsif ( /^}/ ) {
                $INRULE=0 ;
        }
        elsif ($INRULE == 1 and ($sharp,$tpath,$cond) = /^(\s*\#?\s*)(\/\S+)\b(\s+->\s+.+)$/) {
                $ret = ($sharp =~ s/\#//g) ;
                if ($tpath eq '/sbin/e2fsadm' ) {
                    $cond =~ s/;\s+(tune2fs.*)$/; \#$1/ ;
                }
                if (! -e $tpath) {
                        $_ = "$sharp#$tpath$cond" if ($ret == 0) ;
                }
                else {
                        $_ = "$sharp$tpath$cond" ;
                }
        }
        print "$_\n" ;
}
close(POL) ;

作成したポリシーファイル作成スクリプトに実行権付与
# chmod 700 /etc/tripwire/twpolmake.pl

デフォルトのポリシーファイルを基にポリシーファイルを作成
# /etc/tripwire/twpolmake.pl /etc/tripwire/twpol.txt > /etc/tripwire/twpol.txt.out

デフォルトのポリシーファイルを削除
# rm -f /etc/tripwire/twpol.txt

作成したポリシーファイルを本来のポリシーファイル名に変更
# mv /etc/tripwire/twpol.txt.out /etc/tripwire/twpol.txt

ポリシーファイルの編集
# vi /etc/tripwire/twpol.txt
# identifier:   tripwire IDS policy input file
# host:         Fedora Core release 1 (Yarrow)
# version:      2.3.1-19.fdr.1
# maintainer:   Keith G. Robertson-Turner <tripwire-devel[AT]genesis-x.nildram.co.uk>
      ：
      ：
SIG_MED       = 66 ;                 # Non-critical files that are of significant security impact
SIG_HI        = 100 ;                # Critical files that are significant points of vulnerability
チェック結果のメール送信先をrootに設定
( emailto = root )
{
# Tripwire Binaries

(
  rulename = "Tripwire Binaries",
  severity = $(SIG_HI)
)
      ：
      ：
{
     /bin                              -> $(SEC_BIN) ;
     /lib                              -> $(SEC_BIN) ;
}
}
# disabled-entries: 184

# license:
#=============================================================================

ポリシーファイルの暗号化
# twadmin --create-polfile -S /etc/tripwire/site.key /etc/tripwire/twpol.txt
サイトパスフレーズを入力
Please enter your site passphrase:
Wrote policy file: /etc/tripwire/tw.pol


暗号化されたファイルを通常ファイルに戻す場合は以下のコマンドを入力します
# twadmin --print-polfile > /etc/tripwire/twpol.txt

■ tripwireのデータベース作成

tripwireデータベースを作成する
# tripwire --init
ローカルパスフレーズを入力
Please enter your local passphrase:
Parsing policy file: /etc/tripwire/tw.pol
Generating the database...
*** Processing Unix File System ***
Wrote database file: /var/lib/tripwire/fedora.kajuhome.com.twd
The database was successfully generated.

■ tripwireチェック

tripwireチェック
# tripwire --check
Parsing policy file: /etc/tripwire/tw.pol
*** Processing Unix File System ***
Performing integrity check...
Wrote report file: /var/lib/tripwire/report/fedora.kajuhome.com.twr


Tripwire(R) 2.3.0 Integrity Check Report

Report generated by:          root
Report created on:            2004年10月28日 08時41分21秒
Database last updated on:     Never

===============================================================================
Report Summary:
===============================================================================

Host name:                    fedora.kajuhome.com
Host IP address:              127.0.0.1
Host ID:                      None
Policy file used:             /etc/tripwire/tw.pol
Configuration file used:      /etc/tripwire/tw.cfg
Database file used:           /var/lib/tripwire/fedora.kajuhome.com.twd
Command line used:            tripwire --check

===============================================================================
Rule Summary:
===============================================================================

-------------------------------------------------------------------------------
  Section: Unix File System
-------------------------------------------------------------------------------

  Rule Name                       Severity Level    Added    Removed  Modified
  ---------                       --------------    -----    -------  --------
  Invariant Directories           66                0        0        0
  Temporary directories           33                0        0        0
Rule Nameの先頭に"*"が付いている箇所を確認します。
Tripwire Data Filesに1件のデータが追加されている
* Tripwire Data Files             100               1        0        0
  Critical devices                100               0        0        0
  User binaries                   66                0        0        0
  Tripwire Binaries               100               0        0        0
  Libraries                       66                0        0        0
  Operating System Utilities      100               0        0        0
  Critical system boot files      100               0        0        0
  File System and Disk Administraton Programs
                                  100               0        0        0
  Kernel Administration Programs  100               0        0        0
  Networking Programs             100               0        0        0
  System Administration Programs  100               0        0        0
  Hardware and Device Control Programs
                                  100               0        0        0
  System Information Programs     100               0        0        0
  Application Information Programs
                                  100               0        0        0
  Shell Related Programs          100               0        0        0
  Critical Utility Sym-Links      100               0        0        0
  Shell Binaries                  100               0        0        0
  Critical configuration files    100               0        0        0
  System boot changes             100               0        0        0
  OS executables and libraries    100               0        0        0
  Security Control                100               0        0        0
  Login Scripts                   100               0        0        0
  Root config files               100               0        0        0

Total objects scanned:  22013
Total violations found:  1

===============================================================================
Object Summary:
===============================================================================

-------------------------------------------------------------------------------
# Section: Unix File System
-------------------------------------------------------------------------------

-------------------------------------------------------------------------------
Rule Name: Tripwire Data Files (/var/lib/tripwire)
Severity Level: 100
-------------------------------------------------------------------------------
追加されたファイルの検出
Tripwire Data Filesは今回作成したTripwireデータベースなので問題なし
Added:
"/var/lib/tripwire/fedora.kajuhome.com.twd"

===============================================================================
Error Report:
===============================================================================

No Errors

-------------------------------------------------------------------------------
*** End of report ***

Tripwire 2.3 Portions copyright 2000 Tripwire, Inc. Tripwire is a registered
trademark of Tripwire, Inc. This software comes with ABSOLUTELY NO WARRANTY;
for details use --version. This is free software which may be redistributed
or modified only under certain conditions; see COPYING for details.
All rights reserved.
Integrity check complete.

■ tripwireの自動チェック化

tripwire自体にレポートとメール送信機能がありますが、あえて通常のチェック結果を採用します。
なぜかと言うと、当サイトで紹介している各自動化(cron)で送信されてくるメール件名と内容を全体と統一化する為です。 
シェルスクリプトを作成
# vi /root/tripwire.sh
#!/bin/sh
echo "Job Name (tripwire.sh)"
echo "  開始(`date +"%k時%M分%S秒"`)"
/usr/sbin/tripwire --check
rm -f /var/lib/tripwire/fedora.kajuhome.com.twd
/usr/sbin/tripwire --init -P ローカルパスフレーズ
echo "  終了(`date +"%k時%M分%S秒"`)"
ローカルパスフレーズは『tripwireの初期設定』で入力したパスワードです。

作成したシェルスクリプトに実行権を与える
# chmod 700 /root/tripwire.sh

プログラムを定期的に実行するcrondの設定ファイルを編集する
# crontab -e
毎日03:00にtripwire(ファイル改竄検知)を行う
00 03 * * * /root/tripwire.sh

■ コンテンツ関連

■ その他

ページ先頭へ
Copyright(©)2004-2018 First home server construction. All Right Reserved.