Использование Tripwire для обнаружения вторжений на сервер Ubuntu

Ubuntu, VPS | Amber | Комментировать запись

Вступление

Безопасность сервера – один из важнейших вопросов системного администрирования. Даже настроенный фаервол и fail2ban, безопасные сервисы и ограниченные приложения не дают стопроцентной гарантии того, что сервер сможет отразить любую хакерскую атаку.

Работа хостовой системы обнаружения вторжений (host-based intrusion detection system, или HIDS) заключается в накоплении сведений о файловой системе и конфигурациях компьютера; она хранит эту информацию для отслеживания и проверки текущего состояния системы. Отличия между рабочим и текущим состоянием системы могут быть признаком того, что данный сервер подвержен опасности взлома.

Tripwire – популярная хостовая система обнаружения вторжений в Linux. Данная программа отслеживает множество различных точек файловой системы в целях выявления несанкционированных изменений.

Это руководство охватывает установку и настройку tripwire на Ubuntu 12.04.

Примечание: в связи с характером систем обнаружения вторжений данное руководство лучше выполнять на новом, недавно созданном сервере.

Установка Tripwire

К счастью, Tripwire можно найти в репозитории Ubuntu по умолчанию. Для установки программы используйте apt-get:

sudo apt-get update
sudo apt-get install tripwire

Данная установка выполнит настройку некоторых необходимых пакетов.

Во-первых, будет настроено почтовое приложение, загруженное как зависимость. Чтобы настроить уведомления по электронной почте, выберите ” internet site”.

Затем появится вопрос, нужно ли установить фразовые пароли во время инсталляции. Выберите “yes”. Также Tripwire спросит, нужно ли создать конфигурационный файл (выберите “yes”), после чего будет задан аналогичный вопрос о файле политики (опять же, “yes”).

Затем нужно выбрать и подтвердить фразовый пароль для ключа сайта. Для защиты конфигурационных файлов Tripwire использует два ключа:

• ключ сайта; этот ключ используется для защиты конфигурационных файлов. Необходимо убедиться, что конфигурационные файлы не были изменены; в противном случае системе обнаружения нельзя доверять. Поскольку одни и те же файлы конфигурации можно использовать сразу на нескольких серверах, этот ключ вместе с файлами можно использовать на разных серверах.
• локальный ключ; он используется на каждой машине для запуска исполняемых файлов. Он гарантирует, что исполняемые файлы не запускаются без согласия пользователя.

Инициализация базы данных

После завершения установки нужно инициализировать базу данных. Как и большинство программ безопасности, Tripwire поставляется с общими, но строгими настройками по умолчанию (которые, возможно, понадобится подогнать под потребности конкретного сервера).

Если ранее ответ на вопрос “создать файл политики во время установки?” был отрицательным, нужно создать этот файл сейчас, выполнив команду:

sudo twadmin --create-polfile /etc/tripwire/twpol.txt

Будет запрошен установленный ранее фразовый пароль.

Вышеприведенная команда создаст зашифрованный файл политики из простого текстового файла, указанного в каталоге /etc/tripwire/. Этот зашифрованный файл Tripwire читает при запуске своих проверок.

Теперь нужно инициировать базу данных, которую tripwire будет использовать для подтверждения версии системы (при этом tripwire читает только что созданный файл политики и проверяет указанные в нем  точки).

Поскольку этот файл пока что не был специализирован для данной системы, будет выведено множество предупреждений, ложных срабатываний и ошибок. Их можно использовать в качестве подсказок для того, чтобы быстро отладить содержимое конфигурационного файла.

Основной способ инициировать базу данных:

sudo tripwire --init

Это создаст файл базы данных и сообщит о конфигурациях, которые необходимо скорректировать.

На данном этапе рекомендуется сохранить выбранные конфигурации и поместить все необходимые файлы в конфигурационный каталог. Для этого выполните проверку и разместите файлы, перечисленные в файле с именем test_results, в конфигурационном каталоге.

Просмотрев этот файл, можно увидеть такие записи:

less /etc/tripwire/test_results
Filename: /etc/rc.boot
Filename: /root/mail
Filename: /root/Mail
Filename: /root/.xsession-errors
. . .

Настройка файла политики в соответствии с системой

Теперь, когда список файлов с настройками Tripwire получен, можно перейти к файлу политики и отредактировать его, чтобы предотвратить ранее выведенные ошибки и ложные срабатывания.

Откройте простой текстовый файл политики в редакторе (нужны root-привилегии):

sudo nano /etc/tripwire/twpol.txt

Найдите все файлы, которые были выведены в test_results. Раскомментируйте нужные строки таким образом, чтобы настройки совпали.

В разделе “Boot Scripts” нужно раскомментировать все строки /etc/rc.boot, поскольку таковых нет в Ubuntu:

(
rulename = "Boot Scripts",
severity = $(SIG_HI)
)
{
/etc/init.d             -> $(SEC_BIN) ;
#/etc/rc.boot            -> $(SEC_BIN) ;
/etc/rcS.d              -> $(SEC_BIN) ;

Иногда домашний каталог root содержит огромное количество файлов, которые необходимо раскомментировать. Запомните: все, чего нет в системе, нужно раскомментировать.

(
rulename = "Root config files",
severity = 100
)
{
/root                           -> $(SEC_CRIT) ; # Catch all additions to /root
#/root/mail                     -> $(SEC_CONFIG) ;
#/root/Mail                     -> $(SEC_CONFIG) ;
#/root/.xsession-errors         -> $(SEC_CONFIG) ;
#/root/.xauth                   -> $(SEC_CONFIG) ;
#/root/.tcshrc                  -> $(SEC_CONFIG) ;
#/root/.sawfish                 -> $(SEC_CONFIG) ;
#/root/.pinerc                  -> $(SEC_CONFIG) ;
#/root/.mc                      -> $(SEC_CONFIG) ;
#/root/.gnome_private           -> $(SEC_CONFIG) ;
#/root/.gnome-desktop           -> $(SEC_CONFIG) ;
#/root/.gnome                   -> $(SEC_CONFIG) ;
#/root/.esd_auth                        -> $(SEC_CONFIG) ;
#/root/.elm                     -> $(SEC_CONFIG) ;
#/root/.cshrc                   -> $(SEC_CONFIG) ;
/root/.bashrc                   -> $(SEC_CONFIG) ;
#/root/.bash_profile            -> $(SEC_CONFIG) ;
#/root/.bash_logout             -> $(SEC_CONFIG) ;
/root/.bash_history             -> $(SEC_CONFIG) ;
#/root/.amandahosts             -> $(SEC_CONFIG) ;
#/root/.addressbook.lu          -> $(SEC_CONFIG) ;
#/root/.addressbook             -> $(SEC_CONFIG) ;
#/root/.Xresources              -> $(SEC_CONFIG) ;
#/root/.Xauthority              -> $(SEC_CONFIG) -i ; # Changes Inode number on login
#/root/.ICEauthority                -> $(SEC_CONFIG) ;
}

Во время проверки Tripwire может пожаловаться на дескрипторы файлов файловой системы /proc. Данные файлы постоянно изменяются, что будет регулярно вызывать ложное срабатывание, если не изменить конфигурации.

В разделе “Devices & Kernel information” найдите файловую систему /proc, которую необходимо проверить:

(
rulename = "Devices & Kernel information",
severity = $(SIG_HI),
)
{
/dev            -> $(Device) ;
/proc           -> $(Device) ;
}

Однако, Tripwire будет проверять каждый файл данной системы, чего делать вовсе не нужно. Вместо этого удалите данную спецификацию и внесите параметры конфигурации для всех директорий системы /proc, которые обязательно нужно проверить:

{
/dev                    -> $(Device) ;
#/proc                  -> $(Device) ;
/proc/devices           -> $(Device) ;
/proc/net               -> $(Device) ;
/proc/tty               -> $(Device) ;
/proc/sys               -> $(Device) ;
/proc/cpuinfo           -> $(Device) ;
/proc/modules           -> $(Device) ;
/proc/mounts            -> $(Device) ;
/proc/dma               -> $(Device) ;
/proc/filesystems       -> $(Device) ;
/proc/interrupts        -> $(Device) ;
/proc/ioports           -> $(Device) ;
/proc/scsi              -> $(Device) ;
/proc/kcore             -> $(Device) ;
/proc/self              -> $(Device) ;
/proc/kmsg              -> $(Device) ;
/proc/stat              -> $(Device) ;
/proc/loadavg           -> $(Device) ;
/proc/uptime            -> $(Device) ;
/proc/locks             -> $(Device) ;
/proc/meminfo           -> $(Device) ;
/proc/misc              -> $(Device) ;
}

В этой части файла нужно также обратить внимание на файловую систему /dev/pts. Tripwire не станет проверять ее по умолчанию, поскольку указано проверить только систему /dev, а /dev/pts – совсем другая файловая система. Чтобы Tripwire проверил и эту систему, ее нужно задать:

{
/dev                    -> $(Device) ;
/dev/pts                -> $(Device) ;
#/proc                  -> $(Device) ;
/proc/devices           -> $(Device) ;
/proc/net               -> $(Device) ;
/proc/tty               -> $(Device) ;
. . .

Последнее, что нужно раскомментировать – это строки /var/run и /var/lock (чтобы система не отмечала нормальные изменения файловой системы, внесенные сервисами):

(
rulename = "System boot changes",
severity = $(SIG_HI)
)
{
#/var/lock              -> $(SEC_CONFIG) ;
#/var/run               -> $(SEC_CONFIG) ; # daemon PIDs
/var/log                -> $(SEC_CONFIG) ;
}

Сохраните внесенные изменения и закройте файл.

Завершив редактирование файла, нужно активировать внесенные конфигурации; это делается путем воссоздания зашифрованного файла политики, который читает Tripwire:

sudo twadmin -m P /etc/tripwire/twpol.txt

После того, как нужный файл был создан, необходимо повторно инициализировать базу данных , чтобы новые конфигурации выполнялись:

sudo tripwire --init
Please enter your local passphrase:
Parsing policy file: /etc/tripwire/tw.pol
Generating the database...
*** Processing Unix File System ***
Wrote database file: /var/lib/tripwire/tripit.twd
The database was successfully generated.

Все выведенные ранее предупреждения теперь не должны появиться. В противном случае необходимо вернуться в /etc/tripwire/twpol.txt и отредактировать его снова таким образом, чтобы предупреждения исчезли.

Проверка конфигураций

Если при инициализации базы данных не появилось никаких жалоб на конфликты, то файл политики соответствует системным настройкам. Тем не менее, нужно запустить проверку, чтобы узнать, как выглядит отчет Tripwire, и еще раз убедиться, что никаких предупреждений действительно нет:

Базовый синтаксис запуска проверки:

sudo tripwire --check

Выведенный результат должен указать, что в данной системе не было обнаружено никаких ошибок или изменений.

Такой результат проверки – доказательство того, что конфигурации полностью правильны. Теперь нужно очистить некоторые файлы и удалить из системы конфиденциальную информацию.

Удалите созданный файл test_results:

sudo rm /etc/tripwire/test_results

Также нужно удалить простые текстовые конфигурационные файлы. Не бойтесь удалять их – при необходимости их можно легко восстановить из зашифрованных файлов с помощью пароля.

Для восстановления простого текстового конфигурационного файла передайте соответствующий зашифрованный файл в twadmin (точно так же, как это делается для создания зашифрованной версии файла). Теперь просто конвертируйте его в текстовый файл:

sudo sh -c 'twadmin --print-polfile > /etc/tripwire/twpol.txt'

Попробуйте сделать это сейчас; переместите текстовую версию конфигурационного файла в хранилищ резервных копий, а затем воссоздайте его с помощью зашифрованной версии:

sudo mv /etc/tripwire/twpol.txt /etc/tripwire/twpol.txt.bak
sudo sh -c 'twadmin --print-polfile > /etc/tripwire/twpol.txt'

Если все сработало должным образом, спокойно удаляйте текстовые версии конфигурационных файлов:

sudo rm /etc/tripwire/twpol.txt
sudo rm /etc/tripwire/twpol.txt.bak

Настройка Email-уведомлений

Данное руководство показывает, как настроить tripwire, чтобы он запускался ежедневно и присылал электронные уведомления. В процессе настройки можно также научиться обновлять базу данных после внесения изменений в систему.

Чтобы активировать функцию автоматических уведомлений, используйте команду mail. На данный момент она не установлена, потому ее нужно скачать из репозиториев.

Кроме того, это отлично демонстрирует реакцию tripwire на изменения в системе.

Для установки файлов используйте:

sudo apt-get install mailutils

Установив команду, проверьте возможность данной системы отправлять отчеты tripwire по почте. Данный отчет будет содержать информацию об изменениях и предупреждения, поскольку только что было установлено новое программное обеспечение, о чем tripwire не был предупрежден:

sudo tripwire --check | mail -s "Tripwire report for `uname -n`" ваш_email@domain.com

Вскоре по электронной почте придет отчет с подробной информацией о новой, только что установленной программе mail. Это очень хорошо: во-первых, это означает, что Tripwire отслеживает изменения в файловой системе; во-вторых, установленное программное обеспечение также работает.

Теперь подтвердите внесенные изменения программного обеспечения путем интерактивной проверки, что обновит базу данных.

Для этого наберите:

sudo tripwire --check --interactive

Это запустит обычную процедуру проверки, но в конце данная процедура не выводит отчет на экран, а копирует его в текстовый файл и открывает в редакторе по умолчанию.

Данный отчет предоставляет подробную информацию о каждом измененном файле, что чрезвычайно полезно в случае возникновения реальных проблем безопасности, но на данный момент она, наверное, не слишком важна.

Полезную информацию можно найти в начале отчета. После короткого вступления находятся строки с флаговыми кнопками для каждого из добавленных или измененных файлов:

Rule Name: Other binaries (/usr/sbin)
Severity Level: 66
-------------------------------------------------------------------------------
Remove the "x" from the adjacent box to prevent updating the database
with the new values for this object.
Added:
[x] "/usr/sbin/maidag"
Modified:
[x] "/usr/sbin"
. . .

Данные флаговые кнопки указывают на необходимость обновить базу данных, чтобы активировать изменения в файлах. Проверьте каждое окошко с меткой “х” и убедитесь, что со всеми внесенными изменениями все в порядке.

Заметив ошибку, уберите метку “х”; в таком случае указанный файл не будет обновлен в базе данных. При следующем запуске tripwire данный файл снова будет отмечен флажком.

Указав, какие изменения нужно внести в БД, сохраните и закройте файл.

На данном этапе будет запрошен фразовый пароль, чтобы tripwire мог обновить файлы базы данных.

В случае если все изменения были приняты, то заново запрошенный отчет будет намного короче, а список изменений будет пуст.

Автоматизация Tripwire с помощью Cron

Убедившись, что все работает должным образом, можно настроить cron, который будет запускать проверку Tripwire каждый день.

Рекомендуется использовать crontab root-пользователя, поскольку правки в системном cronjob могут быть уничтожены при обновлении системы.

Проверьте, существует ли у root-пользователя crontab, выполнив команду:

sudo crontab -l

Если crontab уже существует, его нужно конвертировать в файл и создать его резервную копию:

sudo sh -c 'crontab -l > crontab.bad'

Затем отредактируйте crontab, набрав:

sudo crontab -e

Если crontab запущен впервые, он спросит, какой редактор использовать. Как правило, используется достаточно надежный nano.

Затем откроется файл, в котором можно настроить автоматический запуск tripwire. Чтобы спланировать ежедневный запуск tripwire, нужно просто выбрать время запуска (как правило, сервисы запускаются в непиковое время, чтобы не перегружать часы пик).

Базовый синтаксис:

мин час * * * команда

Команда, которую нужно выполнить – та же, что была использована ранее, чтоб получить отчет. Теперь использовать sudo нет необходимости, поскольку все это будет запущено как root.

Итак, чтобы tripwire запускался ежедневно в 3:30 am, поместите в файл подобную строку:

30 3 * * * /usr/sbin/tripwire --check | mail -s "Tripwire report for `uname -n`" ваш_email@domain.com

Отредактируйте данную строку согласно требованиям.

Итоги

Итак, теперь система обнаружения вторжений установлена на сервер,  автоматически запускается и отправляет отчеты о внесенных в систему изменениях. Рекомендуется ежедневно проверять данные отчеты, вовремя обновлять базу данных tripwire, а также отслеживать подозрительную активность.