在CentOS 7上使用Tripwire监控和检测修改的文件

在CentOS 7上使用Tripwire监控和检测修改的文件

Tripwire是一个免费的开源入侵检测系统(IDS)。 它是用于监视和警告系统上文件更改的安全工具。 Tripwire是一个功能强大的IDS,可以保护您的系统免受不必要的更改。 您可以使用它来监控您的系统文件,包括网站文件,因此当有不需要的文件更改时,Tripwire会检查您的系统,如果设置正确,可以通过电子邮件提醒您。

在本教程中,我们将向您展示如何使用CentOS 7系统上的Tripwire监控和检测系统文件中的任何更改。 我们将向您展示如何在CentOS 7上安装和配置Tripwire,如何生成Tripwire密钥文件,配置和添加tripwire策略,检查系统以及为tripwire和cron设置启用电子邮件通知。

我们将要做什么

  1. 在CentOS 7上安装Tripwire
  2. 为CentOS 7配置Tripwire策略
  3. 验证Tripwire配置
  4. 向Tripwire政策添加新规则
  5. 设置Tripwire电子邮件通知和Cron

先决条件

  • CentOS 7系统
  • 根特权

第1步 - 在CentOS 7上安装Tripwire

我们必须做的第一步是将Tripwire安装到系统上。 默认情况下,tripwire在CentOS 7存储库中可用。

登录到您的服务器并更新所有软件包。

ssh root@hakase-labs.co
sudo yum update -y

现在使用yum安装Tripwire。

yum -y install tripwire

安装完成后,我们需要生成新的密钥文件。

Tripwire使用2个关键文件。

  1. site-key:它用于保护Tripwire配置。 因此,除非我们再次生成配置,否则对tripwire配置所做的任何更改都不会生效,我们会提示您输入“site-key”密码。
  2. local-key:它用于验证tripwire二进制文件。 当我们想要更新tripwire系统数据库时,我们需要运行tripwire命令,并且会提示我们输入'local-key'的密码。

我们使用下面的命令生成新的tripwire密钥文件(站点和本地密钥)。

sudo tripwire-setup-keyfiles

该命令将生成两个密钥文件“site-key”和“local-key”,并且您将被要求输入每个密码。

输入您自己的“ 网站密钥 ”密码,然后按Enter键。

输入您自己的“ 本地密钥 ”密码并再次按Enter键。

接下来,使用'site-key'签署tripwire配置。

输入您的“ 网站密钥 ”密码。

现在,为了签署Tripwire政策,请输入您的“ 本地密钥 ”密码。

Tripwire已安装在CentOS 7上,新的tripwire配置和密钥位于'/ etc / tripwire'目录中。

第2步 - 为CentOS 7配置Tripwire策略

在我们第一步讨论的tripwire安装之后,我们需要初始化tripwire数据库并确保没有错误。

使用下面的tripwire命令初始化tripwire数据库。

sudo tripwire --init

您将被问到“local-key”密码短语,您可能会收到错误消息“no such directory”,如下所示。

我们得到错误是因为系统没有在tripwire配置中已经定义的目录和文件。 为了解决这个错误,我们需要编辑tripwire配置'twpol.txt'并重新签署tripwire配置。

现在使用下面的命令从tripwire生成日志错误。

sudo sh -c "tripwire --check | grep Filename > no-directory.txt"

所有不存在于CentOS 7系统上的目录和文件都列在文件'mo-directory.txt'中

cat no-directory.txt

使用以下bash脚本编辑tripwire配置'twpol.txt' - 在终端上运行此脚本。

for f in $(grep "Filename:" no-directory.txt | cut -f2 -d:); do
sed -i "s|\($f\) |#\\1|g" /etc/tripwire/twpol.txt
done

毕竟,我们需要使用twadmin命令重新生成并重新签署tripwire配置,如下所示。

sudo twadmin -m P /etc/tripwire/twpol.txt

输入您的“网站密钥”密码。

重新初始化tripwire数据库,并确保没有错误。

sudo tripwire --init

重新初始化tripwire数据库,没有任何错误。

第3步 - 验证Tripwire配置和检查系统

要验证tripwire配置,我们可以运行系统检查命令如下。

sudo tripwire --check

你应该得到类似于以下的结果。

所以这意味着在我们的系统上没有发现错误和系统违规。

现在我们将尝试在根目录下添加一个新文件,并使用tripwire再次检查。

转到根目录并创建一个新文件'hakase-labs.txt'。

cd ~/
touch hakase-labs.txt

现在使用tripwire命令再次检查系统。

sudo tripwire --check

您将在系统中得到严重程度为100的新违规的结果,如下所示。

在这个阶段,Tripwire为CentOS 7系统安装和配置。

第4步 - 将新规则添加到Tripwire策略

在这一步中,我们将向您展示如何将新规则添加到tripwire策略配置“twpol.txt”。

要执行这项工作,我们需要定义规则名称,严重程度,监视目录和文件类型。 在这一步中,我们将在'/ var / www /'目录下为我们的WordPress安装创建一个名为'Wordpress Data'的新规则,严重程度为'HIGH / SIG_HI',并且该目录中的所有文件都是关键的以及源代码不能更改)。

转到tripwire配置目录'/ etc / tripwire'并使用vim编辑配置文件'twpol.txt'。

cd /etc/tripwire/
vim twpol.txt

转到该行的末尾,并在那里粘贴以下WordPress规则。

# Ruleset for Wordpress
(
  rulename = "Wordpress Data",
  severity= $(SIG_HI)
)
{
        /var/www        -> $(SEC_CRIT);
}

保存并退出。

使用twadmin命令重新生成并重新签名配置,如下所示。

sudo twadmin -m P /etc/tripwire/twpol.txt

输入您的“网站密钥”密码。

现在我们需要再次重新生成tripwire数据库。

sudo tripwire --init

输入“本地密钥”密码。

新的规则集已添加并应用于Tripwire策略配置。

使用下面的tripwire命令检查您的系统。

sudo tripwire --check

你应该得到结果说没有错误和违反。

现在进入'/ var / www /'目录并在其中创建一个新文件。

cd /var/www/
touch hakase-labs.php

再次使用tripwire进行系统检查。

sudo tripwire --check

并且您将在安全级别为高100的'/ var / www /'目录中得到说明系统违规的结果。

新规则已添加并应用于Tripwire策略配置。

第5步 - 安装Tripwire电子邮件通知和Cron

在这一步中,我们将为特定tripwire规则集策略配置通知,并配置用于自动系统检查的cronjob。 我们会将任何违反'WordPress数据'规则的报告发送到电子邮件地址' myemail@gmail.com '。

对于电子邮件通知,tripwire在配置中提供了一个'emailto'功能。 默认情况下,tripwire使用Postfix或Sendmail通过电子邮件发送报告。

在配置电子邮件通知之前,请使用以下命令测试tripwire通知功能。

sudo tripwire --test --email email@gmail.com

检查你的电子邮件,你应该从你的服务器得到电子邮件报告如下。

现在进入'/ etc / tripwire'目录并编辑'twpol.txt'配置。

cd /etc/tripwire/
vim twpol.txt

在'WordPress数据'规则中添加新行'emailto',如下所示。

# Ruleset for Wordpress
(
  rulename = "Wordpress Data",
  severity= $(SIG_HI),
  emailto = myemail@gmail.com
)
{
        /var/www        -> $(SEC_CRIT);
}

保存并退出。

使用twadmin命令重新生成并签署配置。

sudo twadmin -m P /etc/tripwire/twpol.txt

输入您的“网站密钥”密码。

并重新生成tripwire数据库。

sudo tripwire --init

输入您的tripwire'local-key'密码。

Tripwire电子邮件通知的配置已完成。

现在通过在'/ var / www /'目录中再次创建一个新文件来做一些测试。

cd /var/www/
touch hakase.txt

使用下面的命令再次检查您的系统。

sudo tripwire --check --email-report

注意:

  • --email-report:将系统报告发送到每个规则中定义的电子邮件地址。

检查你的电子邮件,你应该在电子邮件中得到如下结果。

Tripwire的电子邮件通知已启用并应用。

接下来,我们将使用cron setup启用自动Tripwire系统检查。 为此,请使用下面的crontab命令在root用户下创建一个新的cron脚本。

sudo crontab -e -u root

粘贴以下cron配置。

0 0 * * * tripwire --check --email-report

保存并退出。

注意:

  • - cron脚本将每天进行tripwire系统检查。

现在重新启动CentOS 7上的crond服务。

systemctl restart crond

现在,您将每天收到tripwire报告通知到您的电子邮件。

Tripwire已经安装并配置用于CentOS 7系统。

参考

赞(52) 打赏
未经允许不得转载:优客志 » 系统运维
分享到:

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏