簡介
Tripwire 是今朝最為聞名的Unix下文件系統(tǒng)完全性查抄的軟件東西，這一軟件采取的手藝核心就是對每個要監(jiān)控的文件產(chǎn)生一個數(shù)字簽名，保留下來。當文件此刻的數(shù)字簽名與保留的數(shù)字簽名不一致時，那么此刻這個文件必然被改動過了。
軟件特點
監(jiān)督和查抄系統(tǒng)產(chǎn)生的改變可以或許及時地幫忙你發(fā)現(xiàn)報復(fù)打擊者的進侵，它們可以或許很好地供給系統(tǒng)完全性的查抄。
用Tripwire成立數(shù)據(jù)完全性監(jiān)測系統(tǒng)。當然它不克不及抵抗黑客報復(fù)打擊和黑客對一些首要文件的點竄，可是可以監(jiān)測文件是不是被修悔改和哪些文件被修悔改，從而在被報復(fù)打擊后有的放矢的策劃出解決編制。
Tripwire道理
Tripwire的道理是Tripwire被安裝、建設(shè)后，將當前的系統(tǒng)數(shù)據(jù)狀況成立成數(shù)據(jù)庫，跟著文件的添加、刪除和點竄等等改變，經(jīng)由過程系統(tǒng)數(shù)據(jù)近況與不竭更新的數(shù)據(jù)庫進行比較，來鑒定哪些文件被添加、刪除和修悔改。正因為初始的數(shù)據(jù)庫是在Tripwire本體被安裝、建設(shè)后成立的啟事，我們務(wù)必應(yīng)當在辦事器開放前，或說把持系統(tǒng)剛被安裝后用Tripwire構(gòu)建數(shù)據(jù)完全性監(jiān)測系統(tǒng)。
Tripwire的根基把持
一個建設(shè)文件(tw.config)描述監(jiān)測哪些目次和文件，還有一個基線簽名數(shù)據(jù)庫產(chǎn)生一個有關(guān)改動的具體陳述。
當?shù)谝淮芜\行Tripwire時，法度成立一個簽名的基線數(shù)據(jù)庫。下一次運行時，它利用tw. config文件產(chǎn)生一個新的簽名數(shù)據(jù)庫。然后，它比較兩個數(shù)據(jù)庫，實施用戶定義的任何選項樊籬(解除常常更改的文件)，最后經(jīng)由過程電子郵件或顯示器來為用戶在終端上輸出一個可讀的陳述。
Tripwire有四種把持模式：數(shù)據(jù)庫生成、完全性查抄、數(shù)據(jù)庫更新或交互式更新。
數(shù)據(jù)庫生成模式產(chǎn)生一個基線數(shù)據(jù)庫，為將來的比較打下根本。
完全性查抄是Tripwire的首要模式，把當前文件簽名和基線數(shù)據(jù)庫進行比較來進行查抄。
有兩種更新模式承諾用戶調(diào)劑Tripwire數(shù)據(jù)庫以消弭不感歡愉愛好的成果和應(yīng)付正常的系統(tǒng)改變。例如當用戶帳號正常增加或刪除時，不?？碩ripwire反復(fù)陳述/etc/passwd文件被改動了。
默許撐持陳述編制
Syslog
寄望事項
有一點要寄望，上述保障機制的重點在于數(shù)據(jù)庫內(nèi)的數(shù)字簽名，假定數(shù)據(jù)庫是不成靠的，則一切工作都損掉意義。所以在Tripwire生成數(shù)據(jù)庫后，這個庫文件的安然極其首要。比較常見的做法是將數(shù)據(jù)庫文件， Tripwire二進制文件，建設(shè)文件伶仃保留到"可拿走并鎖起來"的質(zhì)上，如光盤，將上述文件復(fù)制到光盤后，封鎖寫呵護口，鎖到保險柜中。如許即便侵進者拿到盤也無計可施。除這類編制外，操縱PGP等加密東西對上述關(guān)頭文件進行數(shù)字簽名也是一個很好的選擇。
當然，當治理員本身對某些文件更動時, Tripwire的數(shù)據(jù)庫必定是需要隨之更新的， Tripwire考慮到了這一點，它有四種工作模式：數(shù)據(jù)庫生成，完全性查抄，數(shù)據(jù)庫更新。交互更新。當治理員更動文件后，可運行數(shù)據(jù)庫更新模式來產(chǎn)生新的數(shù)據(jù)庫文件。
Tripwire只撐持英文系統(tǒng)
單文件大年夜于3G的時辰履行tripwire –check 會犯錯，具體啟事不明。
Tripwire Install
OS：CentOS
# http://sourceforge.net/projects/tripwire/
# install sendmail, wget
yum -y install gcc gcc-c++
cd /home
wget http://jaist.dl.sourceforge.net/project/tripwire/tripwire-src/tripwire-2.4.2.2/tripwire-2.4.2.2-src.tar.bz2
tar -xf tripwire-2.4.2.2-src.tar.bz2
cd tripwire-2.4.2.2-src
./configure --prefix=/home/tripwire
#在make install 期間，需要手動鍵進ENTER，瀏覽媒介然后輸進accept，接下來需要手動設(shè)置3組密匙口令 (建議：可以3組選統(tǒng)一個暗碼，請設(shè)置一個強力的口令，然后請服膺)
make &&make install
# create database
/home/tripwire/sbin/tripwire --init
# 履行查抄
/home/tripwire/sbin/tripwire --check
#設(shè)置 crontab
crontab -e
00 10 * * * su /home/tripwire/sbin/tripwire --check|mail -s "tripwire report" [email protected]
后續(xù)擴大:
匯集多臺tripwire陳述，集中措置告警信息發(fā)送郵件通知相干人員，并遵循每天的陳述進行存檔，便利往后查看。
最后相干人員收到的郵件以下:
標題問題：Tripwire Report
HI,All
文件完全性監(jiān)控狀況
hostname1 正常
hostname2 正常
hostname3 正常
hostname4 異常
hostname5 正常
hostname6 異常
異常的辦事器請拷貝主機名，拜候下面URL進行搜刮查看具體信息。