Ubuntu16.04でTripwireIDSを使用して変更されたファイルを監視および検出する方法

このステップでは、Ubuntuシステム用にTripwireを構成します。 Tripwireに関連するすべての構成は、「/ etc/tripwire」ディレクトリにあります。

Tripwireのインストール後、データベースシステムを初期化する必要があります。次のコマンドを実行します。

sudo tripwire --init

ローカルキーのパスフレーズについて尋ねられます。ローカルキーのパスフレーズを入力してEnterキーを押します。

そして、エラーが発生する可能性があります'そのようなディレクトリはありません '、以下に示すように。

このエラーを解決するには、Tripwire構成ファイルを編集して構成を再生成する必要があります。

Tripwire構成を編集する前に、どのディレクトリが存在しないかを確認する必要があります。これは、次のコマンドを使用して実行できます。

sudo sh -c "tripwire --check | grep Filename > no-directory.txt"

これで、次の方法で存在しないすべてのディレクトリとファイルを表示できます。

cat no-directory.txt

次に、Tripwire構成ディレクトリに移動し、構成ファイルtwpol.txtを編集します。

cd /etc/tripwire/
vim twpol.txt

「ブートスクリプト」ルールで、次のように行にコメントを付けます。

(
   rulename = "Boot Scripts",
   severity = $(SIG_HI)
 )
 {
         /etc/init.d             -> $(SEC_BIN) ;
         #/etc/rc.boot           -> $(SEC_BIN) ;
         /etc/rcS.d              -> $(SEC_BIN) ;

「システムブートの変更」ルールについて、以下のようにコメントします。

(
   rulename = "System boot changes",
   severity = $(SIG_HI)
 )
 {
         #/var/lock               -> $(SEC_CONFIG) ;
         #/var/run                -> $(SEC_CONFIG) ; # daemon PIDs
         /var/log                -> $(SEC_CONFIG) ;

「ルート構成ファイル」ルールで、次の変更を行います。

(
   rulename = "Root config files",
   severity = 100
 )
 {
         /root                           -> $(SEC_CRIT) ; # Catch all additions to /root
         #/root/mail                     -> $(SEC_CONFIG) ;
         #/root/Mail                     -> $(SEC_CONFIG) ;
         #/root/.xsession-errors         -> $(SEC_CONFIG) ;
         #/root/.xauth                   -> $(SEC_CONFIG) ;
         #/root/.tcshrc                  -> $(SEC_CONFIG) ;
         #/root/.sawfish                 -> $(SEC_CONFIG) ;
         #/root/.pinerc                  -> $(SEC_CONFIG) ;
         #/root/.mc                      -> $(SEC_CONFIG) ;
         #/root/.gnome_private           -> $(SEC_CONFIG) ;
         #/root/.gnome-desktop           -> $(SEC_CONFIG) ;
         #/root/.gnome                   -> $(SEC_CONFIG) ;
         #/root/.esd_auth                        -> $(SEC_CONFIG) ;
         #/root/.elm                     -> $(SEC_CONFIG) ;
         #/root/.cshrc                   -> $(SEC_CONFIG) ;
         /root/.bashrc                   -> $(SEC_CONFIG) ;
         #/root/.bash_profile            -> $(SEC_CONFIG) ;
         #/root/.bash_logout             -> $(SEC_CONFIG) ;
         /root/.bash_history             -> $(SEC_CONFIG) ;
         #/root/.amandahosts             -> $(SEC_CONFIG) ;
         #/root/.addressbook.lu          -> $(SEC_CONFIG) ;
         #/root/.addressbook             -> $(SEC_CONFIG) ;
         #/root/.Xresources              -> $(SEC_CONFIG) ;
         #/root/.Xauthority              -> $(SEC_CONFIG) -i ; # Changes Inode number on login
         #/root/.ICEauthority                -> $(SEC_CONFIG) ;

「デバイスとカーネルの情報」ルールで、次のように行を変更します。

(
   rulename = "Devices & Kernel information",
   severity = $(SIG_HI),
 )
 {
         /dev            -> $(Device) ;
         /dev/pts        -> $(Device);
         /dev/shm        -> $(Device);
         /dev/hugepages  -> $(Device);
         /dev/mqueue     -> $(Device);
         #/proc          -> $(Device) ;
         /proc/devices           -> $(Device) ;
         /proc/net               -> $(Device) ;
         /proc/tty               -> $(Device) ;
         /proc/cpuinfo           -> $(Device) ;
         /proc/modules           -> $(Device) ;
         /proc/mounts            -> $(Device) ;
         /proc/dma               -> $(Device) ;
         /proc/filesystems       -> $(Device) ;
         /proc/interrupts        -> $(Device) ;
         /proc/ioports           -> $(Device) ;
         /proc/scsi              -> $(Device) ;
         /proc/kcore             -> $(Device) ;
         /proc/self              -> $(Device) ;
         /proc/kmsg              -> $(Device) ;
         /proc/stat              -> $(Device) ;
         /proc/loadavg           -> $(Device) ;
         /proc/uptime            -> $(Device) ;
         /proc/locks             -> $(Device) ;
         /proc/meminfo           -> $(Device) ;
         /proc/misc              -> $(Device) ;
 }

それでおしまい。変更を保存して、エディターを終了します。

構成ファイルを編集した後、以下に示すようにtwadminコマンドを使用して暗号化されたポリシーファイルを再作成することにより、すべての変更を実装します。

sudo twadmin -m P /etc/tripwire/twpol.txt

'site-key'パスフレーズを入力し、Enterキーを押します。

これにより、新しいTripwireポリシーが作成されます。次に、Tripwireデータベースを再初期化します。

sudo tripwire --init

ローカルキーのパスフレーズを入力し、今回はエラーが発生しないことを確認してください。

TripwireポリシーはUbuntuシステム用に構成されています

sudo tripwire --check

cd ~/
touch hakase-labs.txt

sudo tripwire --check

cd /etc/tripwire/
vim twpol.txt

# Ruleset for Wordpress
(
  rulename = "Wordpress Ruleset",
  severity= $(SIG_HI)
)
{
        /var/www        -> $(SEC_CRIT);
}

sudo twadmin -m P /etc/tripwire/twpol.txt

sudo tripwire --init

cd /var/www/
touch hakase-labs.txt
echo "<h1> Hakase-labs Tutorial</h1>" > html/index.nginx-debian.html

sudo tripwire --check

tripwire --test --email [email protected]

cd /etc/tripwire/
vim twpol.txt

# Rules for Web-app
 (
   rulename = "Wordpress Rule",
   severity = $(SIG_HI),
   emailto = [email protected]
 )

sudo twadmin -m P /etc/tripwire/twpol.txt
sudo tripwire --init

sudo tripwire --check --email-report

sudo crontab -e -u root

0 0 * * * tripwire --check --email-report

systemctl restart cron