Bezpieczenstwo Unixa w Internecie (2)

[ Pobierz całość w formacie PDF ]
.Dla katalogu /tmp są sprawdzane te sameparametry, ale nie jest sprawdzana zawartość.Możliwe są również inne znaczniki i ich kombinacje.Podobne szkieletowe pliki konfiguracyjne sądostępne dla innych znanych platform.Na końcu program Tripwire wraz z plikiem konfiguracyjnym będziemy chcieli przenieść dochronionego katalogu, który powinien pracować w trybie tylko do odczytu.Następnie trzebazainicjować bazę danych.Należy pamiętać, by zrobić to na czystym i pewnym oprogramowaniu -w razie potrzeby można zainstalować je od początku.Po wygenerowaniu bazy danych, należy ją iplik wykonywalny odpowiednio zabezpieczyć.Podczas budowania bazy danych zobaczymy wynik podobny do tego:### Phase 1: Reading configuration file### Phase 2: Generating file list### Phase 3: Creating file information database###U# Warning: Oatabase field placed in./databases/tw.db_mordor.cs.purde.edu.#�### Make surę to move this file and the configuration### to secure media!###### (Tripwire expects to find it in '/f l oppy/system.db'.)UWAGAJeśli to możliwe, program Tripwire należy zbudować statycznie, aby wyłączyć możliwość używaniawspólnych bibliotek, które mogą zawierać w sobie konie trojańskie.Ten typ ataków należy donielicznych, na jakie narzędzie to jest narażone.Uruchamianie pakietu TripwireProgram Tripwire uruchamia się w wersji zabezpieczonej okresowo.Lepiej nie umieszczać go wtablicy cron i uruchamiać go ręcznie.W ten sposób narzędzie na pewno będzie uruchamiane, aadministrator będzie mógł zobaczyć wyniki jego działania.Jeśli podczas działania nic nie zostanie wykryte, powinien pojawić się następujący wynik:#//# Phase 1: Reading conf i gurati on file### Phase 2: Generating file list### Phase 3: Creating file information database### Phase 4: Searching for inconsistenciesU#MW Total f ileś scanned: ' 2640#U Files added: O### Files deleted: O### Files changed: 2586### After applying rules:### Changes discarded: 2586### Changes remaining: OTen wynik oznacza brak zmian.Jeśli jakieś pliki lub katalogi się zmieniły, zobaczylibyśmy takiwynik:### Phase 1: Reading configuration file### Phase 2: Generating file list### Phase 3: Creating file information database "### Phase 4: Searching for inconsistencies W/### " " Total files scanned: 2641### Files added: l### Files deleted: O### Files changed: 2588###### After applying rules:### Changes discarded: 2587### Changes remaining: 3###added: -rw------- root 27 Nov 8 00:33:40 1995 /.loginchanged: -rw-r--r-- root 1594 Nov 8 00:36:00 1995 /etc/mnttab changed: drwxrwxrwt root1024 Nov 8 00:42:37 1995 /tmp### Phase 5: Generating observed/expected pairs for changed files ' ###### Attr Observed (what i t is) Expected (what it should be)### ===========/etc/mnttabst_mtime: Wed Nov 8 00:36:00 1995 Tue Nov 7 18:44:47 1995 st_ctime: Wed Nov 800:36:00 1995 Tue Nov 7 18:44:47 1995 md5 (sigl): 2tIRAZU5G9WVjUKuRGTkdiOTbwgJStE01boHRbXkBwcDsnerfu (sig2): !AvEJqYMlsOMUAE4J6byKJ 3A2PMKEy3.zSKIbwgwBkRs/tmpst_nli nk: 5 4Taki wynik świadczy o tym, że do monitorowanego katalogu został dodany plik (Tripwire wykrywarównież pliki usuwane) i że zostały zmienione jakiś katalog i plik.W każdym wypadku rodzajzmian jest raportowany użytkownikowi.Ten raport może być użyty pózniej do ustaleniaodpowiedniego postępowania.Tripwire ma wiele opcji i może być używany do wielu innych zadań niż proste wykrywanie zmian.Dokumentacja i strony mań dołączone do pakietu dystrybucyjnego są dosyć szczegółowe i wartodo nich sięgać po dalsze informacje.Informacje końcoweWykrywanie zmian przez monitorowanie spójności jest bardzo potrzebne administratorowisystemu.W ten sposób może on nie tylko stwierdzić zmiany wprowadzane złośliwie i celowo przezwłamywaczy, działając jak detektor intruzów, lecz również może wykrywać:" przypadki naruszeń strategii bezpieczeństwa przez personel, takie jak instalowanie imodyfikacje programów bez prawidłowej procedury powiadamiania;" ewentualne awarie sprzętowe prowadzące do uszkodzeń danych;" ewentualne błędy w oprogramowaniu prowadzące do uszkodzeń danych;" wirusy komputerowe, robaki i inne plagi.Niezależnie od tego, czy będzie to program rdist, kopie porównawcze, listy kontrolne, czyprogram Tripware, muszą być spełnione dwa ważne warunki, aby mechanizm kontroli spójnościdziałał:1.Kopie oprogramowania używanego jako podstawy do porównań lub generowania baz danychmuszą, znajdować się poza podejrzeniami [ Pobierz całość w formacie PDF ]

Tematy