Free Book: I comandi Linux: la sicurezza ( 2 )

I comandi Linux: la sicurezza ( 2 ) ALTRI capitoli

tripwire
software di controllo del filesystem

--init
crea un database

--check
verifica lo stato del sistema

--update
aggiorna il database

twadmin
crea, codifica e firma elettronicamente i file di configurazione di tripwire

--create-cfgfile
crea un file di configurazione

--print-cfgfile
stampa a video il file di configurazione

--create-polfile
crea un file di policy

--print-polfile
stampa a video il file di policy

--generate-keys
genera le coppie di chiavi crittografiche

--change-passphrases
modifica le passphrase

--examine
esamina le firme digitali dei file di tripwire

--remove-encryption
rimuove la firma digitale dai file di tripwire

--encrypt
genera una firma digitale sui file di tripwire

Il file di policy
una descrizione del file di policy

twprint
permette di leggere il database ed i file di report di tripwire

siggen
mostra i valori delle funzioni di hash dei file specificati

tripwire

Il funzionamento di tripwire consiste nel creare un'immagine di una parte del sistema ( che altro non è che un database dei file e delle directory presenti in quella parte del sistema ), definita dall'utente stesso ( attraverso il file di policy ) e nel verificare, successivamente, quali modifiche siano intervenute all'interno della porzione di sistema monitorata ( integrity check ). Sarà nostra cura, poi, verificare se i cambiamenti intervenuti siano cambiamenti leciti, autorizzati e non dannosi. I presupposti per i migliori risultati, quindi, sono che l'immagine iniziale del sistema ( o di una parte di esso ) venga creata quando si è certi che il sistema non sia già compromesso e che l'output di ciascuna verifica di integrità non richieda giorni interi di decodifica o interpretazione. Occorre tenere a mente che, spesso, i cambiamenti apportati ai file di un sistema operativo non indicano la presenza di un'attività illecita, come nel caso degli aggiornamenti di sistema. La decisione sulla liceità o illiceità di una modifica spetta, comunque, solo a voi, amministatori del sistema. In questa decisione, tripwire non potrà esservi di alcun aiuto. Sarà buona cosa, quindi, verificare l'integrità del filesystem una volta al giorno, oppure in occasione di un aggiornamento del software esistente oppure dopo l'installazione di nuovo software. Per poter iniziare a lavorare con tripwire, dovremo eseguire due semplici operazioni:

installare il package, nel caso non fosse già installato:
```
	sudo apt-get install tripwire
```
In fase di installazione, tripwire genera i file seguenti:
- un file di configurazione, sia in formato cifrato binario, sia in formato testuale:
```
	/etc/tripwire/tw.cfg
	/etc/tripwire/twcfg.txt
```
- un file di policy, sia in formato cifrato binario, sia in formato testuale:
```
	/etc/tripwire/tw.pol
	/etc/tripwire/twpol.txt
```
  che dice a tripwire quali file e directory tenere sotto osservazione e quali cambiamenti segnalare.
- una coppia di chiavi ( site key ), una pubblica ed una privata, che proteggerà i file di configurazione e di policy, più una "passphrase", per la generazione della chiave privata. La chiave privata verrà utilizzata, da tripwire, per la firma digitale dei file.
- una coppia di chiavi ( local key ), una pubblica ed una privata, che proteggerà i file del database ed i file di log, più una "passphrase", per la generazione della chiave privata. La chiave privata verrà utilizzata, da tripwire, per la firma digitale del database.
L'utente potrà, in qualsiasi momento, generare le chiavi di codifica e decodifica, per i file di configurazione e di policy ( site.key ) e per il database ed i file di report ( local.key ), modificare le passphrase, generare o modificare il file di configurazione e di policy, a partire dal relativo file testuale, utilizzando il comando twadmin. Ricordate che, per modificare il file di policy ed il file di configurazione, dovrete agire sulla versione testuale di questi file. Se la versione testuale non fosse già presente, all'interno della stessa directory in cui trovate il relativo file criptato, potrete crearne, voi stessi, una copia, sempre utilizzando il comando twadmin.
creare il database:
```
	tripwire --init
	tripwire -m i

Please enter your local passphrase: 
Parsing policy file: /etc/tripwire/tw.pol
Generating the database...
*** Processing Unix File System ***
```
Durante la creazione del database, vi verrà chiesta la passphrase locale. Il file di database verrà compresso, presentandosi, comunque, in forma non leggibile. Il database, essenzialmente, è una istantanea degli oggetti presenti nel sistema operativo. Nelle verifiche successive ( integrity check ), questo database sarà il modello di riferimento. Il database verrà salvato nella directory specificata nella variabile DBFILE, definita nel file di configurazione di tripwire:
```
  DBFILE =/var/lib/tripwire/$(HOSTNAME).twd
```
Quando eseguito in modalità di inizializzazione del database, tripwire legge il file di policy, genera un database, in base al contenuto del file di policy, firma, con firma digitale ( crittografia con chiave privata ) il database appena creato. Visto che tripwire si fonda sull'affidabilità dei dati di input, visto che i dati di input di tripwire sono proprio i dati contenuti nel database, è necessario assicurare l'integrità di questo database. Per ottenere ciò, sarebbe bene salvare una copia del database su un disco, esterno o interno, removibile o meno, che sia di sola lettura. Questa operazione andrebbe eseguita subito dopo la creazione, o inizializzazione, del database. E' possibile chiedere a tripwire di non eseguire la firma digitale:
```
	tripwire --init -e
	tripwire --init --no-encryption
```
E' possibile utilizzare alcune opzioni, per specificare quale policy, quale configurazione e quali key file usare ( il site keyfile per leggere i file di configurazione e di policy ed il local keyfile per creare o modificare il database ), oltre, naturalmente, al database stesso:
```
	tripwire --init -p polfile
	tripwire --init --polfile polfile

	tripwire --init -c cfgfile
	tripwire --init --cfgfile cfgfile

	tripwire --init -S sitekey
	tripwire --init --site-keyfile sitekey

	tripwire --init -L localkey
	tripwire --init --local-keyfile localkey

	tripwire --init -P passphrase
	tripwire --init --local-passphrase passphrase

	tripwire --init -d database
	tripwire --init --dbfile database
```
Per ogni file memorizzato nel database, tripwire calcola la cosiddetta checksum, in MD5 e CRC32 ( Cyclic Redundancy Check ):
```
Object name:  /bin/echo

Property:               Value:                      
-------------           -----------                 
Object Type             Regular File                
Device Number           2052                        
Inode Number            2621603                     
Mode                    -rwxr-xr-x                  
Num Links               1                           
UID                     root (0)                    
GID                     root (0)                    
Size                    27024                       
Modify Time             Tue Oct  2 05:23:39 2012    
Blocks                  56                          
CRC32                   BsGhY5                      
MD5                     AxzBCo5VCpte/w6qulpsYO 
```
Il comando siggen è il comando grazie al quale è possibile visualizzare il valore di hash dei file.

Una volta creato il database, sarà possibile, periodicamente, effettuare la verifica dell'integrità:


	tripwire --check
	tripwire -m c

In modalità di verifica, tripwire effettua una scansione dell'intero sistema, in cerca di violazioni delle regole scritte nel file di policy e di discrepanze tra lo stato attuale del filesystem ed il suo stato iniziale, conservato nel database. Inoltre, tripwire stampa a video e salva in un file, specificato nella variabile REPORTFILE, un report dei risultati ottenuti:


  REPORTFILE=/var/lib/tripwire/report/$(HOSTNAME)-$(DATE).twr

Anche in questo caso, è possibile specificare una serie di opzioni, quali il file di configurazione da utilizzare, il file di policy da usare, il database di riferimento, il file di report da creare, le chiavi di crittografia da utilizzare per apporre la firma digitale sui file di configurazione, sul file di report e sul database:


           -m c                  --check
           -I                    --interactive
           -v                    --verbose
           -s                    --silent, --quiet
           -c cfgfile            --cfgfile cfgfile
           -p polfile            --polfile polfile
           -d database           --dbfile database
           -r report             --twrfile report
           -S sitekey            --site-keyfile sitekey
           -L localkey           --local-keyfile localkey
           -P passphrase         --local-passphrase passphrase
           -n                    --no-tty-output
           -V editor             --visual editor
           -E                    --signed-report
           -i list               --ignore list
           -l { level | name }   --severity { level | name }
           -R rule               --rule-name rule
           -x section            --section section
           -M                    --email-report
           -t { 0|1|2|3|4 }      --email-report-level { 0|1|2|3|4 }

L'opzione:


	tripwire --check -l level
	tripwire --check --severity  level

dice a tripwire di segnalare solo le regole che abbiano un livello di gravità pari o superiore al livello indicato. Il livello può essere specificato sia con un numero, sia con il nome corrispondente:


	Low	33
	Medium	66
	High	100

La verifica dell'integrità del filesystem può essere eseguita anche su singole regole di policy:


	tripwire --check -R regola
	tripwire --check --rule-name regola

Per accedere al database ed ai file di report, è necessario utilizzare il comando twprint. Per scorrere, per esempio, l'ultimo file di report, generato dalla verifica di integrità, eseguite:


	twprint --print-report -r file.twr | less

Il report generato ( file.twr, nel nostro esempio ) descrive, nei dettagli, ciascuna violazione della policy riscontrata, evidenziando se un determinato oggetto del filesystem ( file, directory ) sia stato aggiunto, oppure eliminato, oppure modificato. Nel caso venissero rilevate discrepanze tra il database e lo stato attuale del sistema, oppure nel caso venissero segnalate violazioni, l'amministratore dovrà decidere se sostituire il file attuale, con una versione precedente ( nel caso in cui, per esempio, qualcuno, non autorizzato, avesse rimpiazzato un file di sistema ), oppure aggiornare il database allo stato attuale, nel caso in cui la violazione fosse conseguenza di un'azione lecita, quale, per esempio, un aggiornamento di sistema. Se la violazione riscontrata fosse di una gravità tale da mettere a repentaglio l'intero sistema, potrebbe essere necessario reinstallare il sistema operativo. L'aggiornamento del database allo stato attuale impedirà che la stessa modifica venga riportata nelle verifiche successive. Nel caso, quindi, di una violazione grave, tale violazione verrebbe definitivamente autorizzata! Se si desidera che l'aggiornamento del database avvenga immediatamente dopo l'esecuzione della verifica, eseguire la verifica, specificando l'opzione -I:


	tripwire --check -I
	tripwire --check --interactive

oppure, chiamate l'aggiornamento del database manualmente:


	tripwire --update -r report.twr
	tripwire --update --twrfile report.twr

	tripwire -m u -r report.twr
	tripwire -m u --twrfile report.twr

E' necessario specificare a tripwire a quale file di report ( report.twr ) aggiornare il database. Per eseguire l'aggiornamento del database, tripwire aprirà il file di report, utilizzando un editor di testo, permettendovi di selezionare o deselezionare ogni singola violazione riscontrata. Selezionare una violazione significa autorizzarla, permettendo a tripwire di salvarla nel nuovo database. Deselezionare una violazione, invece, significa chiedere a tripwire di ricordarcela nella verifica successiva, in modo da poterne verificare la liceità. L'editor di testo utilizzato è quello specificato nel file di configurazione di tripwire:


  EDITOR=/usr/bin/editor

ma è possibile specificarne uno differente:


	tripwire --update -V editor -r report.twr
	tripwire --update --visual editor -r report.twr

Anche per l'aggiornamento del database, tripwire mette a disposizione una serie di opzioni:


          -m u                --update
           -v                  --verbose
           -s                  --silent, --quiet
           -c cfgfile          --cfgfile cfgfile
           -p polfile          --polfile polfile
           -d database         --dbfile database
           -r report           --twrfile report
           -S sitekey          --site-keyfile sitekey
           -L localkey         --local-keyfile localkey
           -P passphrase       --local-passphrase passphrase
           -V editor           --visual editor
           -a                  --accept-all
           -Z { low | high }   --secure-mode { low | high }

Nel nuovo database, entreranno tutte quelle voci che avrete selezionato. Le voci non selezionate, invece, non verranno aggiornate. Se desiderate selezionare tutte le voci, a priori, inserite l'opzione:


	tripwire --update -a -r report.twr
	tripwire --update --accept-all -r report.twr

Un ultimo parametro importante da impostare è il cosiddetto "livello di sicurezza": cosa deve fare tripwire quando trova un file le cui proprietà non corrispondono alle proprietà memorizzate nel database? Se volete che vi avvisi, senza modificare il database, impostate un livello di sicurezza alto:


	tripwire --update -Z high -r report.twr
	tripwire --update --secure-mode high -r report.twr

Se preferite, invece, che tripwire aggiorni comunque il database, impostate un livello di sicurezza basso:


	tripwire --update -Z low -r report.twr
	tripwire --update --secure-mode low -r report.twr

Potremmo scoprire che le modifiche segnalate non abbiano una grande importanza, oppure che non ne abbiano alcuna. Questo, solitamente, dipende da una qualche direttiva ( o regola ), contenuta nel file di policy, inadeguata o ridondante. Per modificare il file di policy, occorre intervenire sulla versione testuale dell'esistente file, per esempio:


	/etc/tripwire/twpol.txt

Una volta apportate le necessarie modifiche e salvato il file di testo, sarà sufficiente chiedere a tripwire di creare la versione criptata del nuovo file di policy e di aggiornare il database, in base alle nuove direttive ( o regole ). E' possibile fare tutto questo con un solo comando:


	tripwire --update-policy twpol.txt

Visto che l'aggiornamento del file di policy è strettamente connesso ad un aggiornamento del database, è ovvio che le opzioni disponibili per questo comando siano simili, in tutto e per tutto, a quelle disponibili per il comando update:


tripwire --update-policy -p polfile twpol.txt
tripwire --update-policy --polfile polfile twpol.txt

tripwire --update-policy -c cfgfile twpol.txt
tripwire --update-policy --cfgfile cfgfile twpol.txt

tripwire --update-policy -S sitekey twpol.txt
tripwire --update-policy --site-keyfile sitekey twpol.txt

tripwire --update-policy -L localkey twpol.txt
tripwire --update-policy --local-keyfile localkey twpol.txt

tripwire --update-policy -P passphrase twpol.txt
tripwire --update-policy --local-passphrase passphrase twpol.txt

tripwire --update-policy -Q passphrase twpol.txt
tripwire --update-policy --site-passphrase passphrase twpol.txt

tripwire --update-policy -d database twpol.txt
tripwire --update-policy --dbfile database twpol.txt

tripwire --update-policy -Z high twpol.txt
tripwire --update-policy --secure-mode high twpol.txt

tripwire --update-policy -Z low twpol.txt
tripwire --update-policy --secure-mode low twpol.txt

tripwire: twadmin

L'utility twadmin viene usata per eseguire alcune funzioni di amministrazione sui file di tripwire, quali:

creare un file di configurazione:
```
  twadmin --create-cfgfile configfile.txt
  twadmin -m F configfile.txt
```
operazione per la quale è sempre necessario specificare il file delle chiavi da utilizzare, per criptare e firmare il nuovo file di configurazione:
```
  twadmin --create-cfgfile -S site.key configfile.txt
  twadmin --create-cfgfile --site-keyfile site.key configfile.txt
```
oltre, eventualmente, alla passphrase da usare con il nuovo file delle chiavi:
```
  twadmin --create-cfgfile -S site.key
		-Q passphrase configfile.txt

  twadmin --create-cfgfile -S site.key
		--site-passphrase passphrase configfile.txt
```
Il file di configurazione indicato ( configfile.txt ) verrà criptato, firmato digitalmente e salvato in un file binario, con suffisso cfg. E' anche possibile specificare un nome differente per il file di destinazione:
```
  twadmin --create-cfgfile -c file.cfg configfile.txt
  twadmin --create-cfgfile --cfgfile file.cfg configfile.txt
```
Infine, è possibile chiedere a twadmin di non eseguire la codifica del file di configurazione:
```
  twadmin --create-cfgfile -e configfile.txt
  twadmin --create-cfgfile --no-encryption configfile.txt
```
Anche in questo caso, il file di configurazione risultarà illeggibile, poichè verrà, comunque, compresso. Una volta creato il nuovo file di configurazione, ricordarsi di eliminare il file testuale, utilizzando, per maggior sicurezza, il comando shred:
```
  shred -u configfile.txt
```
stampare a video il file di configurazione:
```
  twadmin --print-cfgfile
  twadmin -m f
```
specificando, eventualmente, un file di configurazione specifico:
```
  twadmin --print-cfgfile -c file.cfg
  twadmin --print-cfgfile --cfgfile file.cfg
```
Per modificare il file di configurazione esistente, quindi, dovremo, prima, salvarlo in un file testuale:
```
  twadmin --print-cfgfile > cfgfile.txt
```
per poi apportare le modifiche al file testuale e, infine, ricreare il file di configurazione:
```
  twadmin --create-cfgfile -S site.key cfgfile.txt
```

creare un file di policy, con le stesse opzioni disponibili per la creazione del file di configurazione:


  twadmin --create-polfile policyfile.txt
  twadmin -m P policyfile.txt

           -m P            --create-polfile
           -v              --verbose
           -s              --silent, --quiet
           -c cfgfile      --cfgfile cfgfile
           -p polfile      --polfile polfile
           -S sitekey      --site-keyfile sitekey
           -Q passphrase   --site-passphrase passphrase
           -e              --no-encryption

stampare a video il file di policy, con le stesse opzioni disponibili per la stampa del file di configurazione:


  twadmin --print-polfile
  twadmin -m p

           -m p           --print-polfile
           -v             --verbose
           -s             --silent, --quiet
           -c cfgfile     --cfgfile cfgfile
           -p polfile     --polfile polfile
           -S sitekey     --site-keyfile sitekey

generare le chiavi di codifica e decodifica, per i file di configurazione e di policy ( site.key ) e per il database ed i file di report ( local.key ):


  twadmin --generate-keys
  twadmin -m G

	-L localkey     --local-keyfile localkey
	-S sitekey      --site-keyfile sitekey
	-P passphrase   --local-passphrase passphrase
	-Q passphrase   --site-passphrase passphrase

Quindi, per generare una site.key, lasciando a twadmin di chiederci una passphrase, eseguite:


  twadmin --generate-keys --site-keyfile site.key
  twadmin -m G -S site.key

che salverà i dati nel file site.key. Per generare, invece, una local.key, eseguite:


  twadmin --generate-keys --local-keyfile local.key
  twadmin -m G -L local.key

modificare le passphrase:


  twadmin --change-passphrases
  twadmin -m C

	-L localkey     --local-keyfile localkey
	-S sitekey      --site-keyfile sitekey
	-P passphrase   --local-passphrase passphrase
	-Q passphrase   --site-passphrase passphrase

		--local-passphrase-old passphraseOld
		--site-passphrase-old passphraseOld

Queste ultime due opzioni servono a indicare la passphrase usata per decriptare la chiave privata, nei rispettivi file keyring.

esaminare lo stato dei file di tripwire, verificando se sono stati firmati digitalmente e con quale chiave:


  twadmin --examine file1 file2 ...
  twadmin -m e file1 file2 ...

       -c cfgfile, --cfgfile cfgfile
       -L localkey, --local-keyfile localkey
       -S sitekey, --site-keyfile sitekey

Per esempio:


  twadmin -m e -c tw.cfg -L local.key -S Mysite.key *.cfg

File: "/etc/tripwire/tw.cfg"
File Type: Tripwire Config File (Ver 2.2.0.0)
Encoding: Asymmetric Encryption
The following keys decrypt this file: 
	Site Keyfile: /etc/tripwire/Mysite.key

File: "/etc/tripwire/tw.cfg"
File Type: Tripwire Config File (Ver 2.2.0.0)
Encoding: Asymmetric Encryption
The following keys decrypt this file: 
	Site Keyfile: /etc/tripwire/Mysite.key

rimuovere la firma digitale dai file di configurazione, di policy, di report, dal database:


  twadmin --remove-encryption file1 [ file2 ... ]
  twadmin -m R file1 [ file2 ... ]

          -m R            --remove-encryption
           -v              --verbose
           -s              --silent, --quiet
           -c cfgfile      --cfgfile cfgfile
           -L localkey     --local-keyfile localkey
           -S sitekey      --site-keyfile sitekey
           -P passphrase   --local-passphrase passphrase
           -Q passphrase   --site-passphrase passphrase

criptare i file di configurazione, di policy, di report, del database:


  twadmin --encrypt file1 [ file2 ... ]
  twadmin -m E file1 [ file2 ... ]

           -m E            --encrypt
           -v              --verbose
           -s              --silent, --quiet
           -c cfgfile      --cfgfile cfgfile
           -L localkey     --local-keyfile localkey
           -S sitekey      --site-keyfile sitekey
           -P passphrase   --local-passphrase passphrase
           -Q passphrase   --site-passphrase passphrase

Il file di policy

Il file di policy dice a tripwire cosa monitorare e quali proprietà degli oggetti da monitorare dovranno essere salvate nel database: ciascun oggetto, infatti, è affiancato da una maschera delle proprietà, che descrive i cambiamenti che tripwire dovrà tenere sotto controllo e quelli che potrà tranquillamente ignorare. Il formato di una regola di policy è il seguente:


	object_name    ->    property_mask;

dove:


	object_name

rappresenta un file o una directory del filesystem, da tenere monitorato;


	property_mask

rappresenta una sequenza di caratteri singoli, ciascuno dei quali rappresenta una proprietà. Gli spazi tra "object_name" ed il token "->" e tra il token "->" e "property_mask" sono obbligatori. Un segno "+" prima del carattere di proprietà significa: "tieni monitorata questa proprietà" ( token di default ), mentre un segno "-" significa: "ignora questa proprietà". Per esempio, la regola:


	/etc        ->    +p;

indica a tripwire di verificare i permessi sui file contenuti nella directory /etc ed in tutte le sue sottodirectory, mentre la regola:


	/etc        ->    +p+n;

indica a tripwire di verificare i permessi ed il numero dei link relativi ai file contenuti nella directory /etc ed in tutte le sue sottodirectory. Le proprietà a disposizione sono:


            -     Ignora le proprietà seguenti
            +     Verifica le proprietà seguenti
            a     Ultimo accesso
            b     Numero di blocchi allocati
            c     Data dell'inode ( create/modify )
            d     ID della macchina sulla quale si trova l'inode
            g     ID del gruppo del proprietario del file
            i     Numero di Inode
            l     Il file si sta espandendo
            m     Ultima modifica
            n     Numero di link
            p     Permessi e file mode
            r     ID del computer puntato dall'inode
            s     Dimensioni del file
            t     Tipo di file
            u     ID utente del proprietario del file
            C     Valore hash CRC-32
            H     Valore hash Haval
            M     Valore hash MD5
            S     Valore hash SHA

Le proprietà possono essere anche dichiarate in una variabile:


	param1 = +SMCH;
	/etc/inet -> $(param1);

Esistono anche una serie di variabili predefinite, il cui valore non può essere modificato:


	ReadOnly = +pinugtsdbmCM-rlacSH
	Dynamic = +pinugtd-srlbamcCMSH
	Growing = +pinugtdl-srbamcCMSH
	Device = +pugsdr-intlbamcCMSH
	IgnoreAll = -pinugtsdrlbamcCMSH
	IgnoreNone = +pinugtsdrbamcCMSH-l

Device è da usare per i dispositivi, oppure per i file che tripwire non dovrebbe tentare di aprire. IgnoreAll verifica l'esistenza di un file, senza verificarne alcuna proprietà. IgnoreNone attiva tutte le proprietà ed è un ottimo punto di partenza per generare una propria e personale maschera. Per esempio:


	mymask = $(IgnoreNone) -ar;

Attenzione: è possibile associare una sola maschera ad un oggetto. Se, per errore, vengono associate due o più maschere allo stesso oggetto:


	/usr/bin   ->   $(mask3);
	/usr/bin   ->   $(mask4);

tripwire verrà chiuso, senza che possa eseguire alcuna scansione. E' possibile, inoltre, specificare un oggetto sul quale tripwire non dovrà eseguire alcuna verifica, i cosiddetti stop point:


	!/etc/init.d;

Per esempio:


	/etc   ->   $(ReadOnly);
	!/etc/rc.d;
	!/etc/mnttab;

Inoltre, tripwire rende disponibili anche quattro attributi di regola, che possono modificarne il comportamento:


	rulename
	emailto
	severity
	recurse

Come si usano gli attributi?


	/etc -> +ug (rulename=watchme);
	/etc -> +ug (emailto=admin@domain.com);
	/etc -> +ug (emailto="admin@foo.com;admin2@foo.com");
	/etc -> +ug (severity=50);
	/etc -> +ug (recurse=2);

E' possibile associare più attributi ad una stessa regola:


  /usr/lib -> $(ReadOnly) (emailto = admin@foo.com, severity = 80);

oppure associare uno o più attributi a più regole:


  (emailto = admin@foo.com, severity = 80)
  {
    /usr/lib  ->  $(ReadOnly);
    /usr/bin  ->  $(ReadOnly);
  }

Come modificano, gli attributi, il comportamento di tripwire?

rulename: crea un'etichetta ad una regola o ad un set di regole. Utile nel caso si volesse ricercare determinati oggetti, all'interno di un vasto database.
emailto: se, durante la verifica dell'integrità del filesystem ( tripwire ), viene attivata l'opzione --email-report, nel caso in cui venisse riscontrata una violazione di una regola, tripwire invierebbe una email all'indirizzo, o agli indirizzi, specificato.
severity: è il livello di gravità sopra il quale si vuole l'intervento di tripwire. Il valore di default è zero ( 0 ). I valori accettati vanno da zero a un milione ( 1.000.000 ).
recurse: specifica come una regola attraverserà le directory. I valori accettati sono:
- true: tripwire attraverserà l'intero contenuto della directory, verificando tutti i file e tutte le sottodirectory.
- -1: equivalente a true.
- false: se la regola è riferita ad una directory, tripwire attraverserà solo la directory oggetto ( inode ), senza verificarne i file o le sottodirectory.
- 0 ( zero ): equivalente a false.
- 1 ... 1.000.000: esprime il livello di profondità al quale fermare l'attività di verifica.

Un ulteriore strumento, offerto da tripwire, per affinare le regole per la verifica dell'integrità sono le direttive. Le direttive possono servire ad inserire espressioni condizionali, all'interno del file di policy. Per esempio:


     @@ifhost spock || kirk
               /bin   ->   $(ReadOnly);
            @@endif

dove spock e kirk sono due nomi di host. Oppure, per stampare messaggi su STDOUT:


     @@print  "string"

magari facendo si che il programma che ha effetuato la chiamata venga chiuso, con uno stato diverso da zero:


     @@error  "string"

La direttiva:


     @@section

delimita una sezione del file di policy:


# Global Variable Definitions
#
# These definitions override those in to configuration file.  Do not
# change them unless you understand what you're doing.
#

@@section GLOBAL
TWBIN = /usr/sbin;
TWETC = /etc/tripwire;
TWVAR = /var/lib/tripwire;

#
# File System Definitions
#
@@section FS

permettendo, anche, di evidenziare le sezioni riservate ad un sistema operativo specifico:


	@@section  NTFS
	@@section  NTREG

Infine, la direttiva:


	@@end

indica la fine del file di policy: qualsiasi testo venisse aggiunto dopo, non verrebbe mai preso in considerazione da tripwire.

tripwire: twprint

Il comando twprint stampa i file del database ed i file di report di tripwire. Per stampare l'intero database:


	twprint --print-dbfile
	twprint --print-dbfile | less

	twprint -m d
	twprint -m d | less

Per stampare, invece, un intero file di report, dovremo indicare il nome del file da caricare:


	twprint --print-report --twrfile rep-20110301-071344.twr
	twprint --print-report --twrfile rep-20110301-071344.twr | less

	twprint -m r -r rep-20110301-071344.twr
	twprint -m r -r rep-20110301-071344.twr | less

Se non venisse specificato alcun file, infatti, twprint andrebbe a cercare il file riportato dalla variabile REPORTFILE, nel file di configurazione. Solitamente, in questa variabile, il nome del file viene creato con la data e l'ora attuale:


  REPORTFILE =/var/lib/tripwire/report/$(HOSTNAME)-$(DATE).twr

Visto che data e ora attuale cambiano costantemente, diventa necessario specificare un file particolare. Se il comando per stampare il database non specifica alcun oggetto particolare, verranno stampati tutti gli oggetti in esso contenuti. E', quindi, possibile specificare uno o più oggetti:


	twprint --print-dbfile [ object1 [ object2... ]]

	twprint --print-dbfile /etc /root/.lesshst

Object name:  /etc

Property:               Value:                      
-------------           -----------                 
Object Type             Directory                   
Device Number           2052                        
Inode Number            6815745                     
Mode                    drwxr-xr-x                  
Num Links               132                         
UID                     root (0)                    
GID                     root (0)                    
Size                    12288                       
Modify Time             Tue Nov 13 19:25:49 2012    
Blocks                  24

Object name:  /root/.lesshst

Property:               Value:                      
-------------           -----------                 
Object Type             Regular File                
Device Number           2051                        
File Device Number      0                           
Inode Number            3538953                     
Mode                    -rw-------                  
Num Links               1                           
UID                     root (0)                    
GID                     root (0)                    
Size                    35                          
Modify Time             Wed Feb 26 15:11:08 2014    
Change Time             Wed Feb 26 15:11:08 2014    
Blocks                  8                           
CRC32                   xxxxx                      
MD5                     yyyyyyyyyyyyyyyyyyy

Naturalmente, è possibile specificare alcuni parametri. Per il database:


  twprint --print-dbfile -c cfgfile [ file1 [ file2... ]]
  twprint --print-dbfile --cfgfile cfgfile [ file1 [ file2... ]]

  twprint --print-dbfile -d database [ file1 [ file2... ]]
  twprint --print-dbfile --dbfile database [ file1 [ file2... ]]

  twprint --print-dbfile -L localkey [ file1 [ file2... ]]
  twprint --print-dbfile --local-keyfile localkey [ file1 [ file2... ]]

Per il file di report:


  twprint --print-report -c cfgfile -r file.twr
  twprint --print-report --cfgfile cfgfile -r file.twr

  twprint --print-report -L localkey -r file.twr
  twprint --print-report --local-keyfile localkey -r file.twr

Inoltre, è anche possibile specificare un livello di accuratezza dell'output:


  twprint --print-report -t level -r file.twr
  twprint --print-report --report-level level -r file.twr

Per livello di accuratezza, si intende il numero dei dettagli pubblicati. Se non specificato, verrà preso dalla variabile REPORTLEVEL, all'interno del file di configurazione. E' un numero compreso tra 0 e 4. Per esempio:


  twprint --print-report -t 3 -r file.twr
  twprint --print-report --report-level 3 -r file.twr

Sia per la stampa del database, sia per la stampa dei file di report, è possibile chiedere sia una maggiore verbosità ( più informazioni ), sia una totale assenza di dati, nell'output, utilizzando, rispettivamente, le opzioni:


  -v
  --verbose

  -s
  --silent
  --quiet

tripwire: siggen

Il comando siggen è il comando che stampa a video i valori delle impronte digitali, calcolati, da tripwire, sui file memorizzati nel database:


	siggen [ options... ] file1 [ file2... ]

	siggen /bin/echo
	siggen /bin/echo /root/.lesshst

Il comando tripwire calcola più valori di hash, utilizzando algoritmi differenti. E' possibile specificare quali valori si richiedono:


	siggen -a /bin/echo
	siggen --all /bin/echo

	siggen -C /bin/echo
	siggen --CRC32 /bin/echo

	siggen -M /bin/echo
	siggen --MD5 /bin/echo

	siggen -S /bin/echo
	siggen --SHA /bin/echo

	siggen -H /bin/echo
	siggen --HAVAL /bin/echo

E' possibile chiedere un output in valori esadecimali, invece che in notazione 64base:


	siggen -h /bin/echo
	siggen --hexadecimal /bin/echo

E' possibile chiedere un output su una sola riga:


	siggen -t /bin/echo
	siggen --terse /bin/echo

Testi di riferimento

1) TRIPWIRE

Contatta l'autore della guida

Hai domande, osservazioni, richieste da inviare a
LinxTeam?

Vota questa guida!

Voti ricevuti dagli utenti per questo testo: 870

Dillo ai tuoi amici in Facebook

Il tuo dominio è libero?

Data di pubblicazione

2012-Mar-14 11:17:16

Autore

LinxTeam

Aruba Key Position

Free Book: cerca per categoria

Cerca per titolo, autore, parola chiave

Risultati correlati

Gnome Applications Folders
Manuale di riferimento per GNOME Di ...
GNOME Display Manager
Debian: configurazione del server X ...
GNOME App Folders
Gsettings
Dconf Explained
Introduction to D-Bus
Debian: sistema dei pacchetti
All about the Virtual Memory
Linux Memory mapping
Virtual Memory in the IA-64 Linux K ...
Virtual Memory in the IA-64 Linux K ...
Virtual Memory Subsystem in Linux K ...
Boot Loaders
GRUB bootloader - Full tutorial
Learn Linux 101: Install a boot man ...
The Linux Programming interface
Traceroute Command for Linux
Linux tutorial
An Analysis of Ext4 for Digital For ...
Sistemi Operativi
How does my computer store things i ...
The Art of Unix Programming
Linux System Administration
Logging, Log File Rotation, and Sys ...
The Linux System Logging Daemon
T H E /proc F I L E S Y S T E M
The /proc directory
Plug-and-Play-HOWTO
Tails

Ultime guide inserite

Assembly ( IT )
Le funzioni Javascript ( IT )
Bluetooth ( IT )
Crittografia ( IT )
SQLite: il più usato motore S ... ( IT )
L'anonimato in Internet ( IT )
Come mettere in sicurezza il p ... ( IT )
Installare Linux Ubuntu ( IT )
Come aprire un sito Internet ( IT )
Il bottone Facebook Mi Piace ( ... ( IT )
Guida introduttiva a Cygwin ( IT )
ModSecurity ( IT )
Come funziona il pagamento Pay ... ( IT )
I set di caratteri ( IT )
Come integrare il pagamento on ... ( IT )

I comandi Linux: la sicurezza ( 2 ) Le guide di .bit: contenuto originale


Home	Guide .bit	Manuali	Manuali `++`	Video	Video `++`	Contatti	EN	Linux	apt-get
Tor, The Onion Routing