A segurança é uma das questões mais críticas que devemos enfrentar no dia a dia e isso porque não apenas em nossas organizações, mas também em um nível pessoal, temos inúmeros arquivos e configurações que, se mal utilizados, podem causar danos irreparáveis.
Conhecemos várias ferramentas que podem ser úteis para monitorar o comportamento diário do sistema e desta vez falaremos de uma em particular chamada Tripwire.
O que é TripWireTripWire é uma ferramenta poderosa e gratuita cuja função específica é a detecção de intrusão (IDS) que está constantemente atualizando arquivos críticos do sistema e relatórios de controle, caso tenham sido modificados ou excluídos por um hacker ou intruso.
TripWire enviará uma mensagem ao administrador do sistema no caso de uma falha do sistema. TripWire é uma ferramenta open source que permitirá que a área de TI seja notificada em caso de qualquer modificação no sistema Linux, neste caso o Debian 8.
O Operação básica TripWire é o seguinte:
- Primeiro, a ferramenta realiza uma análise e cria um ponto de referência de todos os arquivos críticos em um arquivo criptografado, aumentando a segurança.
- Posteriormente, ele monitora qualquer alteração anômala e a compara com o benchmark incluindo detalhes como data e hora, permissões, entre outros.
Para esta análise, usaremos uma equipe com o Debian 8.
1. Sistema de atualização
Primeiro, vamos inserir o comando:
apt-get updatePara atualizar todos os pacotes disponíveis no sistema.
ObservaçãoIncluímos sudo no caso de não termos logado como usuários root.
Em computadores com CentOS 7 ou RHEL, devemos inserir o comando:
yum atualizaçãoCom isso, teremos atualizado os pacotes.
2. Baixe e instale o TripWire
Assim que tivermos o sistema atualizado, passamos a inserir o seguinte comando para baixar e instalar o TripWire:
apt-get install tripwireEm equipes com CentOS 7 vamos inserir o comando:
yum instalar tripwire
Podemos ver que o seguinte assistente é exibido onde aceitamos a mensagem:
Assim que esta mensagem for aceita, a seguinte janela é exibida onde devemos definir quando criar as chaves de senha. Tripwire.
Veremos o seguinte:
Nós pressionamos Aceitar e devemos configurar a chave local.
Clique em Sim e veremos na próxima janela o caminho onde a configuração do TripWire será salva.
A seguir, veremos a rota das diretrizes TripWire.
Clique na opção necessária e o processo de instalação continuará.
Mais tarde veremos a seguinte janela onde devemos inserir a chave do site para TripWire.
Devemos confirmar a senha e, em seguida, inserir a senha local.
Reconfirmamos a senha e finalmente veremos que a instalação foi completada corretamente.
Nós pressionamos Aceitar para sair do assistente. Caso o assistente não seja exibido, devemos inserir o seguinte para configurar o site e as chaves locais:
twadmin -m G -L /etc/tripwire/dummy-local.key -S /etc/tripwire/site.keyChave do site.
3. Iniciar serviço TripWire
Uma vez que a ferramenta TripWire foi instalada, procedemos para iniciar o serviço usando o seguinte comando:
tripwire -initE devemos inserir a senha local que criamos anteriormente.
Até agora nós vimos como instalar e iniciar o Tripwire, clique na próxima página um pouco abaixo para aprender como configurá-lo.
4. Modificar arquivo de configuração Tripwire
O próximo passo é configurar o arquivo twpol.txt usando o editor que mais gostamos.
Neste caso, inseriremos o seguinte comando:
sudo nano /etc/tripwire/twpol.txtA seguinte janela será exibida:
Lá, localizaremos as seguintes linhas:
Essas linhas estão relacionadas ao banco de dados criado anteriormente, quando o Serviço TripWire. Devemos habilitar essas linhas usando o ícone #, apenas não selecionamos as seguintes linhas:
/root/.bashrc /root/.bash_profile
Da mesma forma, devemos ativar as seguintes linhas:
Salvamos as alterações usando a combinação de teclas:
Ctrl + O
E deixamos o editor usando a combinação:
Ctrl + X
5. Modificar modelos TripWire
Em seguida, inseriremos o seguinte caminho para modificar o modelo da ferramenta:
twadmin -m P /etc/tripwire/twpol.txt
Vemos que a política de arquivos foi escrita corretamente. Uma vez que esses parâmetros tenham sido configurados, devemos usar o comando novamente:
tripwire -initPara que as mudanças sejam feitas.
6. Verificação TripWire
Para verificar os parâmetros do ferramenta tripwire vamos inserir o seguinte comando:
tripwire -check
Podemos expandir um pouco mais o texto e encontraremos no Resumo da regra de linha os objetos que foram verificados pela ferramenta e as possíveis violações ou efeitos sobre eles.
7. Automatizar relatórios TripWire no Debian 8
Um dos parâmetros que o TripWire usa, como mencionamos anteriormente, é que a ferramenta cria um ponto de restauração para arquivos críticos.
Para isso, podemos usar o seguinte:
crontab -eVeremos o seguinte:
No final do console, devemos inserir os parâmetros para fazer o backup das informações:
Desta forma configuramos que via e-mail recebamos notificações de qualquer modificação nos arquivos.
Salvamos as alterações usando a combinação de teclas Ctrl + O.
Como vimos com o ferramenta tripwire podemos contar com a possibilidade de garantir o integridade e segurança dos arquivos de nossos sistemas Linux.
Auditoria CentOS 7
