Отправляет email-рассылки с помощью сервиса Sendsay

Сообщество системных администраторов Litl-Admin.ru

Подписаться Бесплатная «Серебряная» новостная рассылка . Подписчиков 141 RSS
←   Февраль 2014   →
 1
 2
 3
 4
04.02.2014
04:21:57
05:09:56
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
19.02.2014
04:32:10
05:08:35
20
21
22
23
23.02.2014
12:46:54
13:29:45
24
25
26
26.02.2014
16:39:28
16:59:45
27
27.02.2014
10:02:58
10:04:15
28


За последние 60 дней ни разу не выходила


Сайт рассылки: http://litl-admin.ru
Открыта: 26-01-2012

Автор
seqular

Статистика

141 подписчиков
0 за неделю
←   Все выпуски   →

Сообщество системных администраторов Litl-Admin.ru Использование Tripwire для сохранения целостности FreeBSD


Ссылка на материал

Потянуло меня на поднятие защиты своего FreeBSD шлюза. Не всегда базовые средства обороны обеспечивают полноценный щит от всевозможных угроз. Представим, что хакер оказался умнее нас и все-таки проник в систему. Ему ничего не стоит затесать руткит или немного подправить конфигурацию, чтобы обеспечить себе бэкдор, поставив нужное приложение и иметь полноценный доступ в систему.

Одним из способом защиты системы от вторжения может являться постоянный мониторинг файлов и конфигураций демонов. Среди некоторых предложенных вариантов я выбрал инструмент Tripwire.

Что делает tripware? Формируется первоначальная база данных каждой программы, делает контрольные суммы программ на этапе их установки (make install) и записывает их (изменения) в особый файл. Файл тоже не простой, подписывается локальной идентификационной фразой, а так же ключом сайта. Далее, периодически проверяются контрольные суммы файлов и если критические файлы были изменены (конфиг файрволла, демон sshd и т.д.), то программа немедленно оповестит администратора.

Программа доступна из портов:

# cd /usr/ports/security/tripwire
# make install clean

Установка программы

Установка программы

Во время установки предложит согласиться с лицензионным соглашением (отказ от ответственности), набираем accept и продолжаем дальше.

Вводим две парольные фразы в диалоговом окне, сгенерируется ключ для подписи базы данных.

Что мониторить — описывается в файле /usr/local/etc/tripwire/twpol.txt (файл политик). Фрагменты политик выглядят подобным образом:

Конфигурация

Конфигурация

Формат файла политик:

( rulename = "имя правила", severity = уровень серьезности правила)
{ перечисляется список объектов и уровень генерирования предупреждения, т.е. есть критические, есть конфиги и т.д.}

Проверить, было ли какое-нибудь нарушение целостности файлов можно командой:

# tripwire --check

Программа начнет проверять файлы и создаст отчёт в папке /var/db/tripwire/report/

Просмотрим отчёт:

# twprint --print-report --twrfile gw2.mydomain-20140212-121332.twr

Отчёт по измененным файлам

Отчёт по измененным файлам

А ниже в отчете будет подробно расписано — какие файлы и по каким критериям были модицифированы. Рекомендую создание отчёта помещать в периодичность, например в cron, еженощно. Это позволит точнее локализовать день, когда система подверглась нападению.

Обновить базу данных можно через:

# tripwire --update

Но делать это нужно только в том случае, если точно уверены, что за время с последнего обновления базы, система не подвергалась компрометации, поскольку все следы будут затерты. Все некритичные секции из файла политик я убираю, буду мониторить только системные каталоги и конфигурационные файлы.
В избранное