Tripwire je software určený pro kontrolu integrity souborů v systému. Jak takový systém funguje? Nejprve si sestaví databázi, která popisuje stav zadaných souborů, adresářů nebo celých adresářových stromů. S touto databází je pak možné kdykoliv srovnat aktuální stav a identifikovat případné změny, které mohou zahrnovat přidané či smazané objekty, změny přístupových práv, modifikace souborů a podobně. Administrátor pak má možnost změny autorizovat a tím změny zanést do databáze, takže příští kontrola vyjde z aktualizované databáze.

Tripwire samozřejmě není zdaleka jediným nástrojem svého druhu, je ovšem jedním z prvních a verze 2.3.0 pro Linux je od nedávna dostupná včetně zdrojových kódů. Pro ostatní systémy je volně dostupná starší verze 1.3.1 formou zdrojových kódů jako ASR (Academic Source Release). Z alternativ za zmínku rozhodně stojí např. AIDE, řadu dalších alternativ čtenáři naleznou např. na serveru Freshmeat.

Společnost Tripwire také nabízí řadu dalších produktů s rozšířenou funkčností oproti základní verzi a to Tripwire Manager (GUI nástroj pro vzdálenou administraci) a Tripwire for Servers (může být spravován dálkově Tripwire Managerem). Posledním produktem je Tripwire for Web Pages, který spolupracuje s web serverem (apache) - funguje tak, že kontroluje odesílané HTML soubory a pokud narazí na stránku, která se změnila (a tato změna nebyla autorizována), tak místo ní odešle stránku s hlášením o dočasné nedostupnosti dané stránky a uvědomí administrátora. V tomto článku se budeme zabývat jen volně dostupnou verzí Tripwire pro Linux.

Co nabízí Tripwire

• přístupová práva
• číslo i-uzlu
• počet odkazů na soubor
• UID (ID uživatele - vlastníka souboru)
• GID (ID skupiny - vlastníka souboru)
• typ souboru
• velikost souboru
• velikost souboru pouze roste (log soubory apod.)
• číslo blokového zařízení, na kterém se soubor nalézá
• čísla zařízení u speciálních souborů
• počet alokovaných datových bloků souboru
• čas modifikace souboru
• čas modifikace i-uzlu
• čas přístupu

Dále jsou k dispozici 4 typy kontrolních součtů, které slouží ověření neporušenosti obsahu souborů:

• CRC-32 (nízká bezpečnost, rychlý)
• MD5 (vyšší bezpečnost)
• SHA (vyšší bezpečnost)
• HAVAL (128 bitový klíč, nejvyšší bezpečnost)

Na jeden soubor můžeme aplikovat libovolnou kombinaci kontrolních součtů současně, pouze je třeba vzít v úvahu, že pokud jich použijeme více, čas potřebný pro kontrolu poroste. Při volbě kontrolních součtů tedy volíme kompromis v závislosti na množství dat, které potřebujeme prověřovat, stupni bezpečnosti a času, za jaký musí kontrola proběhnout.

Jednotlivé soubory je možné sdružovat do celků, kterým lze přiřazovat atributy jako je významnost ("severity", při kontrolách pak volíme jak významné změny nás zajímají), dále emailová adresa, na kterou se posílá upozornění v případě zjištění změny, příznak určující jestli se má daný adresář procházet rekurzívně. Můžeme tedy například jednoduše říci, že chceme sledovat všechny soubory a podadresáře v adresářovém stromu /etc, přiřadit souborům v stromu /etc maximální význam a e-mailovou adresu, čímž zajistíme, že v případě jakékoliv změny detekované při kontrole budou administrátoři upozorněni e-mailem.

Instalace

V průběhu instalace se generují klíče, ke kterým je třeba zadat globální ("site passphrase") a lokální heslo ("local passphrase"). Obě hesla jsou důležitá; globální heslo je později vyžadováno při úpravách bezpečnostní politiky, lokální heslo je vyžadováno při aktualizaci databáze.

Konfigurace, inicializace databáze

Soubor tw.pol obsahuje definici vlastní bezpečnostní politiky, t.j. soubor pravidel udávajících co a jakým způsobem se má kontrolovat. Po instalaci tripwire je k dispozici implicitní soubor pravidel, který je potřeba upravit podle vlastních potřeb. Stejně jako konfigurační soubor tw.cfg i soubor s politikou je ukládán v zašifrované podobě a před editací je třeba je převést do textové podoby utilitou twadmin (twadmin -p) a po editaci zašifrovat (twadmin -P). Součástí instalace je soubor policyguide.txt, kde je na řadě příkladů a tipů v praxi vysvětlena syntaxe konfiguračního souboru bezpečnostní politiky.

Jakmile máme konfiguraci hotovu, můžeme vytvořit databázi spuštěním příkazu tripwire --init.

Kontrola systému, prohlížení zpráv

Tripwire(R) 2.2.1 Integrity Check Report Report generated by: root Report created on: Sat Mar 3 16:07:38 2001 Database last updated on: Fri Mar 2 13:46:35 2001 =============================================================================== Report Summary: =============================================================================== Host name: server.domena.cz Host IP address: 11.22.33.44 Host ID: b2df4h54 Policy file used: /usr/tripwire/policy/tw.pol Configuration file used: /usr/tripwire/bin/tw.cfg Database file used: /usr/tripwire/db/server.twd Command line used: bin/tripwire -m c -I =============================================================================== Rule Summary: =============================================================================== --------------------------- Section: Unix File System --------------------------- Rule Name Severity Level Added Removed Modified --- ------ --- --- ---- Invariant Directories 66 0 0 0 Tripwire Data Files 100 0 0 0 Temporary directories 33 0 0 0 Critical devices 100 0 0 0 Tripwire Binaries 100 0 0 0 User binaries 66 0 0 0 setuid/setgid 100 0 0 0 Diskless executables/libraries 100 0 0 0 Diskless config files 100 0 0 0 Libraries 66 0 0 0 OS executables and libraries 100 0 0 0 Shell Binaries 66 0 0 0 * Critical configuration files 100 0 0 1 Security Control 66 0 0 0 Boot Scripts 66 0 0 0 Login Scripts 66 0 0 0 System boot changes 100 0 0 0 Critical system boot files 100 0 0 0 Root config files 100 0 0 0 Total objects scanned: 27070 Total violations found: 1 =============================================================================== Object Detail: =============================================================================== --------------------------- Section: Unix File System --------------------------- --------------------------- Rule Name: Critical configuration files (/etc/hosts.allow) Severity Level: 100 --------------------------- -------------- Modified Objects: 1 -------------- Modified object name: /etc/hosts.allow Property: Expected Observed ----- ----- ----- * Size 1047 1065 * Modify Time Sun Feb 4 11:12:32 2001 Sat Mar 1 15:09:53 2001 * Change Time Sun Feb 4 11:12:32 2001 Sat Mar 1 15:09:53 2001 * CRC32 Cx9OxW BNKusC * MD5 Codzk4vzD9QR2gXx7QSwRU CaHexEYPYLqcqMqz2Fj2ky =============================================================================== Error Report: =============================================================================== --------------------------- Section: Unix File System --------------------------- No Errors --------------------------- *** End of report *** Copyright (C) 1998-2000 Tripwire(R) Security Systems, Inc. Tripwire(R) is a registered trademark of the Purdue Research Foundation and is licensed exclusively to Tripwire(R) Security Systems, Inc. Výpis č. 2: Ukázka výsledné zprávy tripwire

Aktualizace bezpečnostní politiky

Zásady práce s tripwire

Závěrem