Programmazione.it :: Rilevamento delle intrusioni con Tripwire (5/6)

Rilevamento delle intrusioni con Tripwire (5/6)

Scritto da Francesca Beatrice Cice il 26-02-2007 ore 08:54

Quando viene modificato un file che Tripwire controlla, si deve aggiornare il database di questo software, così che rifletta le nuove informazioni per il file. Questo può essere fatto come parte del processo di controllo di integrità, usando l'opzione interattiva ('-I') o usando il modo per l'aggiornamento del database del comando tripwire:

<span style="font-size:1.0em">[root@home | etc| tripwire]# tripwire --update --twrfile 
| var | lib | tripwire | report | $HOSTNAME-20040823-210750.twr
    < A questo punto si chiede di scegliere quale file da aggiornare >    
    < nel database attraverso il meccanismo 'crocetta'. A meno che non si >
    < specifica diversamente. Se non si è usato <i>vi</i> prima di questo >
    < si potrebbe usare <i>pico, nedit</i> >
    < aggiungere | rimuovere x dal modulo, salvare ed uscire  >                                                       
Please enter your local passphrase: XXXXXXXXXXXXXXX
Wrote database file: | var | lib | tripwire | home.beatrix.com.twd
[root@home  | etc | tripwire]</span>

Come si può vedere dalla linea di comando descritta, si deve specificare un file di rapporto da usare quando si aggiorna un database. Si scelga il file di rapporto generato più recentemente; se si devono aggiornare costantemente gli stessi file e questi non sono di importanza critica, si aggiornino le regole in maniera da escludere questi file. Se viene rilevata una modifica sarà presentato un modulo a crocetta, che deve essere appunto compilato mettendo una x affianco alle violazioni che possono essere tranquillamente aggiornate nel database, come nel caso in cui sia stato aggiornato il Web server Apache il giorno precedente e Tripwire riporta un cambiamento nel file binario | usr | sbin | httpd come ci si attende. Se è cambiato qualcosa che non dipende direttamente dall'attività dell'amministratore allora si dovrebbe controllare approfonditamente, perché potrebbe indicare che qualcuno si è intromesso all'interno del sistema.

Il comando tripwire ha una modalità per l'aggiornamento delle regole che fa in modo che una modifica nelle regole non richieda la reinizializzazione del database. La modalità di aggiornamento delle regole semplicemente sincronizza il database esistente con il nuovo file delle regole, che deve essere in formato testuale in chiaro - Tripwire chiederà poi le passphrase sia locali che del sito, sincronizzerà il database e firmerà entrambi i nuovi file:

tripwire --update-policy --cfgfile . | tw.cfg --polfile ./tw.pol --site-keyfile .
 |site.key 
    --local-keyfile . | $HOSTNAME-local.key new_policy_file.txt

Si ricordi infine che non è importante non lasciare nel sistema la versione testuale in chiaro del file delle regole.

Pubblicazioni correlate:
20-02-2007 Rilevamento delle intrusioni con Tripwire (1/6)
21-02-2007 Rilevamento delle intrusioni con Tripwire (2/6)
22-02-2007 Rilevamento delle intrusioni con Tripwire (3/6)
23-02-2007 Rilevamento delle intrusioni con Tripwire (4/6)
27-02-2007 Rilevamento delle intrusioni con Tripwire (6/6)