如何在 Debian 中配置 Tripewire IDS

本本牛

2016-04-03

本文是一篇关于 Debian 中安装和配置 tripewire 的文章。它是 Linux 环境下基于主机的入侵检测系统（IDS）。tripwire 的高级功能可以检测并报告任何 Linux 中未授权的（文件和目录）的更改。tripewire 安装之后，会先创建一个基本的数据库，tripewire 监控并检测新文件的创建修改和谁修改了它等等。如果修改是合法的，你可以接受修改并更新 tripwire 的数据库。

安装和配置

tripwire 在 Debian VM 中的安装如下。

#apt-get install tripwire

如何在 Debian 中配置 Tripewire IDS

installation

安装中，tripwire 会有下面的配置提示。

站点密钥创建

tripwire 需要一个站点口令（site passphrase）来加密 tripwire 的配置文件 tw.cfg 和策略文件 tw.pol。tripewire 使用指定的密码加密两个文件。一个 tripewire 实例必须指定站点口令。

如何在 Debian 中配置 Tripewire IDS

site key1

本地密钥口令

本地口令用来保护 tripwire 数据库和报告文件。本地密钥用于阻止非授权的 tripewire 数据库修改。

如何在 Debian 中配置 Tripewire IDS

local key1

tripwire 配置路径

tripewire 配置存储在 /etc/tripwire/twcfg.txt。它用于生成加密的配置文件 tw.cfg。

如何在 Debian 中配置 Tripewire IDS

configuration file

tripwire 策略路径

tripwire 在 /etc/tripwire/twpol.txt 中保存策略文件。它用于生成加密的策略文件 tw.pol。

如何在 Debian 中配置 Tripewire IDS

tripwire policy

安装完成后如下图所示。

如何在 Debian 中配置 Tripewire IDS

installed tripewire1

tripwire 配置文件 (twcfg.txt)

tripewire 配置文件（twcfg.txt）细节如下图所示。加密策略文件（tw.pol）、站点密钥（site.key）和本地密钥（hostname-local.key）在后面展示。

ROOT =/usr/sbin
POLFILE =/etc/tripwire/tw.pol
DBFILE =/var/lib/tripwire/$(HOSTNAME).twd
REPORTFILE =/var/lib/tripwire/report/$(HOSTNAME)-$(DATE).twr
SITEKEYFILE =/etc/tripwire/site.key
LOCALKEYFILE =/etc/tripwire/$(HOSTNAME)-local.key
EDITOR =/usr/bin/editor
LATEPROMPTING =false
LOOSEDIRECTORYCHECKING =false
MAILNOVIOLATIONS =true
EMAILREPORTLEVEL =3
REPORTLEVEL =3
SYSLOGREPORTING =true
MAILMETHOD =SMTP
SMTPHOST =localhost
SMTPPORT =25
TEMPDIRECTORY =/tmp

tripwire 策略配置

在生成基础数据库之前先配置 tripwire 配置。有必要经用一些策略如 /dev、 /proc 、/root/mail 等。详细的 twpol.txt 策略文件如下所示。

@@section GLOBAL
TWBIN =/usr/sbin;
TWETC =/etc/tripwire;
TWVAR =/var/lib/tripwire;
#
#FileSystemDefinitions
#
@@section FS
#
#First, some variables to make configuration easier
#
SEC_CRIT = $(IgnoreNone)-SHa;#Critical files that cannot change
SEC_BIN = $(ReadOnly);#Binaries that should not change
SEC_CONFIG = $(Dynamic);#Config files that are changed
# infrequently but accessed
# often
SEC_LOG = $(Growing);#Files that grow, but that
# should never change ownership
SEC_INVARIANT =+tpug ;#Directories that should never
# change permission or ownership
SIG_LOW =33;#Non-critical files that are of
# minimal security impact
SIG_MED =66;#Non-critical files that are of
# significant security impact
SIG_HI =100;#Critical files that are
# significant points of
# vulnerability
#
# tripwire Binaries
#
(
rulename ="tripwire Binaries",
severity = $(SIG_HI)
)
{
$(TWBIN)/siggen -> $(SEC_BIN);
$(TWBIN)/tripwire -> $(SEC_BIN);
$(TWBIN)/twadmin -> $(SEC_BIN);
$(TWBIN)/twprint -> $(SEC_BIN);
}
{
/boot -> $(SEC_CRIT);
/lib/modules -> $(SEC_CRIT);
}
(
rulename ="Boot Scripts",
severity = $(SIG_HI)
)
{
/etc/init.d -> $(SEC_BIN);
#/etc/rc.boot -> $(SEC_BIN);
/etc/rcS.d -> $(SEC_BIN);
/etc/rc0.d -> $(SEC_BIN);
/etc/rc1.d -> $(SEC_BIN);
/etc/rc2.d -> $(SEC_BIN);
/etc/rc3.d -> $(SEC_BIN);
/etc/rc4.d -> $(SEC_BIN);
/etc/rc5.d -> $(SEC_BIN);
/etc/rc6.d -> $(SEC_BIN);
}
(
rulename ="Root file-system executables",
severity = $(SIG_HI)
)
{
/bin -> $(SEC_BIN);
/sbin -> $(SEC_BIN);
}
#
#CriticalLibraries
#
(
rulename ="Root file-system libraries",
severity = $(SIG_HI)
)
{
/lib -> $(SEC_BIN);
}
#
#LoginandPrivilegeRaisingPrograms
#
(
rulename ="Security Control",
severity = $(SIG_MED)
)
{
/etc/passwd-> $(SEC_CONFIG);
/etc/shadow -> $(SEC_CONFIG);
}
{
#/var/lock -> $(SEC_CONFIG);
#/var/run -> $(SEC_CONFIG);# daemon PIDs
/var/log -> $(SEC_CONFIG);
}
#These files change the behavior of the root account
(
rulename ="Root config files",
severity =100
)
{
/root -> $(SEC_CRIT) ; # Catch all additions to /root
#/root/mail -> $(SEC_CONFIG);
#/root/Mail-> $(SEC_CONFIG);
/root/.xsession-errors -> $(SEC_CONFIG);
#/root/.xauth -> $(SEC_CONFIG);
#/root/.tcshrc -> $(SEC_CONFIG);
#/root/.sawfish -> $(SEC_CONFIG);
#/root/.pinerc -> $(SEC_CONFIG);
#/root/.mc -> $(SEC_CONFIG);
#/root/.gnome_private -> $(SEC_CONFIG);
#/root/.gnome-desktop -> $(SEC_CONFIG);
#/root/.gnome -> $(SEC_CONFIG);
#/root/.esd_auth -> $(SEC_CONFIG);
# /root/.elm -> $(SEC_CONFIG);
#/root/.cshrc -> $(SEC_CONFIG);
#/root/.bashrc -> $(SEC_CONFIG);
#/root/.bash_profile -> $(SEC_CONFIG);
# /root/.bash_logout -> $(SEC_CONFIG);
#/root/.bash_history -> $(SEC_CONFIG);
#/root/.amandahosts -> $(SEC_CONFIG);
#/root/.addressbook.lu -> $(SEC_CONFIG);
#/root/.addressbook -> $(SEC_CONFIG);
#/root/.Xresources-> $(SEC_CONFIG);
#/root/.Xauthority-> $(SEC_CONFIG)-i ;#ChangesInode number on login
/root/.ICEauthority-> $(SEC_CONFIG);
}
#
#Critical devices
#
(
rulename ="Devices & Kernel information",
severity = $(SIG_HI),
)
{
#/dev -> $(Device);
#/proc -> $(Device);
}

tripwire 报告

tripwire-check 命令检查 twpol.txt 文件并基于此文件生成 tripwire 报告如下。如果 twpol.txt 中有任何错误，tripwire 不会生成报告。

如何在 Debian 中配置 Tripewire IDS

tripwire report

文本形式报告

root@VMdebian:/home/labadmin# tripwire --check
Parsing policy file:/etc/tripwire/tw.pol
***ProcessingUnixFileSystem***
Performing integrity check...
Wrote report file:/var/lib/tripwire/report/VMdebian-20151024-122322.twr
OpenSource tripwire(R)2.4.2.2IntegrityCheckReport
Report generated by: root
Report created on:SatOct2412:23:222015
Databaselast updated on:Never
ReportSummary:
=========================================================
Host name:VMdebian
Host IP address:127.0.1.1
Host ID:None
Policyfile used:/etc/tripwire/tw.pol
Configurationfile used:/etc/tripwire/tw.cfg
Databasefile used:/var/lib/tripwire/VMdebian.twd
Command line used: tripwire --check
=========================================================
RuleSummary:
=========================================================
-------------------------------------------------------------------------------
Section:UnixFileSystem
-------------------------------------------------------------------------------
RuleNameSeverityLevelAddedRemovedModified
-------------------------------------------
Other binaries 66000
tripwire Binaries100000
Other libraries 66000
Rootfile-system executables 100000
tripwire DataFiles100000
System boot changes 100000
(/var/log)
Rootfile-system libraries 100000
(/lib)
Critical system boot files 100000
Other configuration files 660<span class="lit"&g

     debian  ids  tripwire

       
    本本牛  
   0 关注   0 粉丝   0 动态  
 
    关注    关注   
 
  
    相关推荐 
      如何在Debian、Ubuntu中使用apt-cache命令  
 
     在本教程中学习使用 apt-cache 命令。元数据通常由包名、版本、描述、依赖关系、仓库和开发者等信息组成。令人惊讶的是，apt-cache并不能清除 APT 缓存。为此，你必须使用 apt-get clean 命令。不用说，APT 打包系统是在 Deb     
 
   菜鸟上路CCLinux    2020-11-04  
 
      可修复 “BootHole” 漏洞的Linux Debian 10.5 发布。  
 
     Debian 10.5 已发布，这是 Debian 10 "Buster" 的第五个稳定版更新，修复了部分安全问题和 bug。近日据外媒报道，固件安全公司Eclypsium透露，数十亿Windows和Linux设备将会受到严重的GRUB     
 
   xiaoemo0    2020-08-09  
 
      proxmox ve 6.2.1 初始化脚本  
 
     apt update && apt upgrade -y && apt dist-upgrade -y. apt install -y vim net-tools wget curl htop git axel aria2      
 
   84931231    2020-07-30  
 
      debian apach2 wsgi 自定义log logrotate 之后无权限访问  
 
     今天测试发现web打不开了，看下error.log发现是自定义log属主变成了root adm，apache2无法访问，后来搜索发现，apache2的日志由logrotate定期压缩备份清理，看了下/etc/logrotate.d/apache2 的配置有     
 
   82941732    2020-07-27  
 
      如何检查Debian 10开放的端口？  
 
     端口被定义为两方或多方通过网络相互通信所需的通信端点。然而，有时即使通信终止，端口仍可能保持开放，这可能引起各种安全问题。此外，不必要的开放端口也会消耗额外的资源。所以，你必须对所有开放的端口进行持续检查。因此，在这篇文章中，我们将向您介绍在Debian1     
 
   wh0    2020-07-27  
 
      Debian、Ubuntu、Linux Mint，哪款更适合您？  
 
     在Linux世界中，如今有着数百种基于Linux的操作系统可供选择。它们中的大多数是从一个已经存在的发行版中，更改、扩展而实现的。当然，也有极少数是原生的。不过，面对比比皆是的Linux发行版，新手系统工程师时常会犯“选择困难”症。总的说来，目前在桌面端，     
 
   taianxiaojia    2020-07-15  
 
      树莓派3B安装DeBian 64位系统及其安装私有云网盘----可道云  
 
     综合以上几点，便找到了用树莓派来搭建私人云盘，恰巧，自己又有逛闲鱼的习惯于是乎闲鱼搜了搜，正好碰到因今年疫情，别人抵押货款的树莓派贱卖，综合网上考虑，就选取了树莓派3B，做网盘主机，功耗适中，3B+和4B功耗有点大，于是乎就又开始了折腾之旅，这一折腾，差点     
 
   mattraynor    2020-06-25  
 
      Debian 10安装NextCloud简单方法介绍  
 
     NextCloud是一套文件托管软件，最初是一种免费的开源的ownCloud分支。它提供了类似于Dropbox或GoogleDrive的功能。本文介绍如何在Debian10系统安装NextCloud。运行数据库安全向导。回答以下问题，用强密码替换示例密码。     
 
   82941732    2020-06-11  
 
      Debian安装sqli-labs靶机  
 
     有的小伙伴需要打sql注入的靶机，sqli-labs这个靶机十分的厉害，可是sql靶机不比xss靶机需要连接数据库。其实这在windows系统下面比较简单直接下载phpstudy软件直接进行傻瓜式的点击鼠标就行了，然而安装linux为主系统的用户就比较烦恼     
 
   安得情怀似旧时    2020-06-08  
 
      Linux 虚拟机使用 xshell 连接 (debian、kali、CentOS)  
 
     5.wp保存后，输入service ssh start 开启ssh，     
 
   colin00    2020-06-04  
 
      【docker系列2】docker 的前世今生  
 
     Docker 入门，共 3 篇，将带大家进入 Docker 的世界。首先了解 Docker 的发展历程，然后快速掌握 Docker 的基本使用；Docker 版本及内核兼容性选择是这部分的重点内容。大家如果在生产环境中需要使用 Docker 的话，建议重点     
 
   libra0    2020-06-01  
 
      Proxmox6.2简单配置  
 
     == ‘Active‘)改为if      
 
   林悠居    2020-05-19  
 
      Debian 9 源配置  
 
     Debian 9:     
 
   84931231    2020-05-14  
 
      如何在Debian 10中配置Chroot环境的SFTP服务  
 
     SFTP 意思是“安全文件传输协议Secure File Transfer Protocol” 或 “SSH 文件传输协议SSH File Transfer Protocol”，它是最常用的用于通过 ssh 将文件从本地系统安全地传输到远程服务器的方法，反     
 
   84931231    2020-05-06  
 
      树莓派/Debian 挂载硬盘  
 
     在 Linux 中要使用 Samba 文件协议来实现 NAS 配置，首先要挂载硬盘。本文来简述如何在 Linux 中来挂载硬盘。将硬盘插入到主机对应接口。可以看到插入的硬盘 /dev/sdb1 的文件系统类型为：FAT32  。Changes will r     
 
   Summer的小屋    2020-03-26  
 
      报告称Windows比Debian Linux和Android更安全  
 
     Linux 与 Windows 10 相比的一个优势是它更安全，但是 Linux 系统并不是绝对可靠的，美国国家标准技术研究院National Institute of Standards and Technology的国家漏洞数据库National Vu     
 
   82941732    2020-03-10  
 
      Debian 9.5 解决中文显示乱码  
 
     然后选择zh_CN.UTF-8为默认的LOCALE，则系统为中文界面。进入系统后看到全是英文，是不是有点郁闷。那么我们怎样设置成简体中文呢？#如果你安装系统时选择的就是简体中文，可以跳过这段，只安装中文字体就行了。当然你也可以修改成其他的语言。把 带 zh     
 
   82941732    2020-03-04  
 
      基于Ubuntu和基于Debian的Linux Mint 20新特性一览  
 
     LinuxMint 20 将基于 Ubuntu 20.04 LTS，同时，其 LMDE4 也将到来，LMDE 版本基于 Debian GNU/Linux，提供滚动发布，而不是像常规的 Linux Mint 基于 Ubuntu。日前 Linux Mint 官     
 
   咏月东南    2020-02-25  
 
      【Debian】 Debian 安装源配置  
 
     安装源是什么呢，安装源又称软件源，是指把软件的安装源地址放在一个pool里面,用一条命令就可以按照顺序从源内指定的服务器查询下载并进行更新或安装。注意下列源内包括两种不同的Debian发行版，可注释掉不需要的版本。# deb cdrom:[Debian G     
 
   zhongcanw    2020-02-22  
 
      【Debian学徒记事】移动硬盘安装Debian的磨磨唧唧  
 
     安装Debian的磨磨唧唧。唆使VMware罢工的微软。这两天心血来潮想折腾，拆了我亲爱的Ubuntu、装个Debian. 不过因为加入了微软的insider版本。就很尴尬的发现当我打开我的VMware workstation pro 15的时候。看脸绿屏     
 
   hickwu    2020-02-21