IDS/Tripwire - Historique des versions

Didier : /* Décrypter un rapport */

2016-01-20T10:11:23Z

Décrypter un rapport

← Version précédente		Version du 20 janvier 2016 à 10:11
Ligne 132 :		Ligne 132 :
	=== Décrypter un rapport ===		=== Décrypter un rapport ===

	Les rapports tripwire (~~localisé~~ dans <path>/var/lib/tripwire/report/</path>) étant cryptés, la lecture doit se faire à l'aide d'un utilitaire		Les rapports tripwire (localisés dans <path>/var/lib/tripwire/report/</path>) étant cryptés, la lecture doit se faire à l'aide d'un utilitaire fournit par le paquet tripwire
	twprint --print-report --twrfile /var/lib/tripwire/report/localhost-lastest.twr		twprint --print-report --twrfile /var/lib/tripwire/report/localhost-lastest.twr

Didier le 20 janvier 2016 à 10:09

2016-01-20T10:09:55Z

← Version précédente		Version du 20 janvier 2016 à 10:09
Ligne 122 :		Ligne 122 :
	tripwire --init		tripwire --init
	</pre>		</pre>


	=== Modification sur le système ===		=== Modification sur le système ===

Didier : /* Modification sur le système */

2016-01-20T10:09:19Z

Modification sur le système

@@ Ligne 122 : / Ligne 122 : @@
 tripwire --init
 </pre>
 === Modification sur le système ===
-Une fois le système modifié, suite à une mise à jour par exemple, il faut mettre à jour le base de données de tripwire
+Une fois le système modifié, suite à une mise à jour par exemple, il faut mettre à jour la base de données de tripwire en acceptant les modifications d'un rapport (en général le dernier rapport créé) servant de référence.
   tripwire --update
 == Durcissement de la sécurité ==

Didier : /* Modification sur le système */

2015-12-18T09:16:25Z

Modification sur le système

← Version précédente		Version du 18 décembre 2015 à 09:16
Ligne 127 :		Ligne 127 :
	Une fois le système modifié, suite à une mise à jour par exemple, il faut mettre à jour le base de données de tripwire		Une fois le système modifié, suite à une mise à jour par exemple, il faut mettre à jour le base de données de tripwire
	tripwire --update		tripwire --update

			== Durcissement de la sécurité ==

			* Tripwire ne peut que constater la modification des fichiers et doit donc être installé/configuré en même temps que la distribution.
			* Tripwire n'utilise que la version cryptée des fichier de configuration et de définition de la politique. C'est pourquoi il est recommandé de supprimé les fichiers ''en clair''<pre>rm /etc/tripwire/twpol.txt /etc/tripwire/twcfg.txt</pre>Les fichiers peuvent être générés à partir de leur version cryptée.<pre>twadmin -m p > /etc/tripwire/twpol.txt</pre><pre>twadmin -m f > /etc/tripwire/twcfg.txt</pre>

Didier : /* Initialisation de l'application */

2015-12-18T08:57:33Z

Initialisation de l'application

← Version précédente		Version du 18 décembre 2015 à 08:57
Ligne 10 :		Ligne 10 :
	La documentation (la page man de tripwire contient toutes les informations nécessaires) nous apprend qu'il va nous falloir 2 clés:		La documentation (la page man de tripwire contient toutes les informations nécessaires) nous apprend qu'il va nous falloir 2 clés:
	* '''site.key''': Une clé servant à encrypter le fichier de définition de la politique sur un ou plusieurs systèmes		* '''site.key''': Une clé servant à encrypter le fichier de définition de la politique sur un ou plusieurs systèmes
	* '''hostname-local.key'': Une autre clé servant uniquement à crypter les fichiers utilisés localement (il est donc unique sur chaque système)		* '''hostname-local.key''': Une autre clé servant uniquement à crypter les fichiers utilisés localement (il est donc unique sur chaque système)
	Suivant l'opération à effectuer, une ou ~~les~~ deux clés seront requises.		Suivant l'opération à effectuer, une ou deux clés seront requises.

	=== Méthode manuelle ===		=== Méthode manuelle ===

Didier : /* Installation */

2015-12-18T08:53:10Z

Installation

← Version précédente		Version du 18 décembre 2015 à 08:53
Ligne 1 :		Ligne 1 :
	== Installation ==		== Installation ==

	L'installation est triviale car le paquet est présent dans les dépôts de base Fedora et dans les dépôts [[Distributions#D.C3.A9p.C3.B4ts_Additionnels_2\|EPEL]] pour CentOS.		L'installation est triviale car le paquet est présent dans les dépôts de base Fedora et dans les dépôts '''[[Distributions#D.C3.A9p.C3.B4ts_Additionnels_2\|EPEL]]''' pour CentOS.
	yum install tripwire		yum install tripwire

Didier : /* Premier lancement */

2015-12-18T08:51:32Z

Premier lancement

← Version précédente		Version du 18 décembre 2015 à 08:51
Ligne 101 :		Ligne 101 :
	=== Premier lancement ===		=== Premier lancement ===

	On va lancer la génération de la base avec la politique par défaut, l'affinage se fera dans un second temps		On va lancer la génération de la base avec la politique par défaut, l'affinage se fera dans un second temps, après la première vérification.
	tripwire --init		tripwire --init

	Le premier rapport de tripwire va contenir beaucoup de faux-positif, car la politique par défaut est généraliste.		Le premier rapport de tripwire va contenir beaucoup de faux-positif, car la politique par défaut est généraliste.
	<pre>		<pre>
Ligne 111 :		Ligne 111 :
	### Continuing...		### Continuing...
	</pre>		</pre>
	On va donc lister tous les fichiers inexistant		On va donc lister tous les fichiers inexistant en générant un rapport de vérification
	tripwire --check \| grep '### Filename' >> twtest.txt		tripwire --check \| grep '### Filename' \| tee twtest.txt
	et les ~~commenter~~ dans le fichier de définition de la politique <path>/etc/tripwire/twpol.txt</path>		et commenter les fichiers inexistants dans le fichier de définition de la politique <path>/etc/tripwire/twpol.txt</path>

	=== Modification de la politique ===		=== Modification de la politique ===

Didier : /* Utilisation */

2015-12-18T08:27:27Z

Utilisation

← Version précédente		Version du 18 décembre 2015 à 08:27
Ligne 99 :		Ligne 99 :
	== Utilisation ==		== Utilisation ==

	=== ~~Initialisation de la base de données~~ ===		=== Premier lancement ===

	tripwire -~~m i~~		On va lancer la génération de la base avec la politique par défaut, l'affinage se fera dans un second temps
			tripwire --init

	~~=== Modification de la configuration ===~~		Le premier rapport de tripwire va contenir beaucoup de faux-positif, car la politique par défaut est généraliste.

	Le premier rapport de tripwire va contenir beaucoup de faux-positif
	<pre>		<pre>
	### Warning: File system error.		### Warning: File system error.
Ligne 113 :		Ligne 112 :
	</pre>		</pre>
	On va donc lister tous les fichiers inexistant		On va donc lister tous les fichiers inexistant
	~~/usr/sbin/~~tripwire -~~m c~~ \| grep '### Filename' >> twtest.txt		tripwire --check \| grep '### Filename' >> twtest.txt
	et les commenter dans le fichier de définition de la politique <path>/etc/tripwire/twpol.txt</path>		et les commenter dans le fichier de définition de la politique <path>/etc/tripwire/twpol.txt</path>

			=== Modification de la politique ===

			Une fois le fichier de définition de la politique modifié, il faut l'encrypter et ré-initialiser la base de données
			<pre>
			twadmin --update-policy /etc/tripwire/twpol.txt
			tripwire --init
			</pre>

			=== Modification sur le système ===

			Une fois le système modifié, suite à une mise à jour par exemple, il faut mettre à jour le base de données de tripwire
			tripwire --update

Didier le 17 décembre 2015 à 15:12

2015-12-17T15:12:43Z

@@ Ligne 1 : / Ligne 1 : @@
 == Installation ==
   yum install tripwire
-== First Setup ==
+== Initialisation de l'application ==
-=== By hands ===
-The RPM comes with a default settings already configured.  You can see them if you browse to the /etc/tripwire directory on your system.  There are a couple of steps that you have to follow before you can initialize the database, however.
+L'installation via RPM installe un fichier de configuration et un fichier définissant la politique par défaut dans le dossier <path>/etc/tripwire</path>. Ces fichiers ne peuvent être utilisés directement par tripwire, car celui-ci travaille avec des fichiers cryptés.
-As per the docs (the man pages have all the info you are looking for) you need to set up both a site and a local key.  The site key is used for encrypting the policy files across multiple systems.  The local key is used for encrypting files used only on the local machine.  The docs state that they one or both of the keys may be required based on what operation is being conducted.  I just set up both keys.  Remember to use strong pass-phrases.  The key locations are configured in the /etc/tripwire/twcfg.txt file, which will later be encrypted for use by the system.
+=== Méthode manuelle ===
 <pre>
 twadmin -m G -v -S /etc/tripwire/site.key -Q passphrase
@@ Ligne 12 : / Ligne 21 : @@
 </pre>
-Now that you have the keys configured, you can go ahead and encrypt the configuration and policy files.  Tripwire does this so that the files in use by the tripwire system cannot be modified.  If an attacker does get in, technically they can't modify those files.....
+Une fois les clés générées, on va pouvoir encrypter le fichier de configuration et le fichier définissant la politique. C'est une protection contre la modification des fichiers par un éventuelle attaquant.
 <pre>
 twadmin -m F -c /etc/tripwire/tw.cfg -S /etc/tripwire/site.key -Q passphrase /etc/tripwire/twcfg.txt
@@ Ligne 18 : / Ligne 27 : @@
 </pre>
-=== With Script ===
+=== Avec un Script ===
 <pre>tripwire-setup-keyfiles</pre>
   tripwire -m i
-After that, you should be able to use tripwire open source.
+=== Modification de la configuration ===
-{{author|Shamir Charania||url=http://www.shamirc.com/2012/03/fedora-16-tripwireos-installation.html}}

Didier le 28 octobre 2013 à 07:54

2013-10-28T07:54:58Z

← Version précédente		Version du 28 octobre 2013 à 07:54
Ligne 1 :		Ligne 1 :
	Installation:		== Installation ==
	yum install tripwire		yum install tripwire

			== First Setup ==
			=== By hands ===
	The RPM comes with a default settings already configured. You can see them if you browse to the /etc/tripwire directory on your system. There are a couple of steps that you have to follow before you can initialize the database, however.		The RPM comes with a default settings already configured. You can see them if you browse to the /etc/tripwire directory on your system. There are a couple of steps that you have to follow before you can initialize the database, however.

	As per the docs (the man pages have all the info you are looking for) you need to set up both a site and a local key. The site key is used for encrypting the policy files across multiple systems. The local key is used for encrypting files used only on the local machine. The docs state that they one or both of the keys may be required based on what operation is being conducted. I just set up both keys. Remember to use strong pass-phrases. The key locations are configured in the /etc/tripwire/twcfg.txt file, which will later be encrypted for use by the system.		As per the docs (the man pages have all the info you are looking for) you need to set up both a site and a local key. The site key is used for encrypting the policy files across multiple systems. The local key is used for encrypting files used only on the local machine. The docs state that they one or both of the keys may be required based on what operation is being conducted. I just set up both keys. Remember to use strong pass-phrases. The key locations are configured in the /etc/tripwire/twcfg.txt file, which will later be encrypted for use by the system.
	twadmin -m G -v -S /etc/tripwire/site.key -Q passphrase		<pre>
	twadmin -m G -v -L /etc/tripwire/hostname-local.key -P passphrase		twadmin -m G -v -S /etc/tripwire/site.key -Q passphrase
			twadmin -m G -v -L /etc/tripwire/hostname-local.key -P passphrase
			</pre>

	Now that you have the keys configured, you can go ahead and encrypt the configuration and policy files. Tripwire does this so that the files in use by the tripwire system cannot be modified. If an attacker does get in, technically they can't modify those files.....		Now that you have the keys configured, you can go ahead and encrypt the configuration and policy files. Tripwire does this so that the files in use by the tripwire system cannot be modified. If an attacker does get in, technically they can't modify those files.....
	twadmin -m F -c /etc/tripwire/tw.cfg -S /etc/tripwire/site.key -Q passphrase /etc/tripwire/twcfg.txt		<pre>
	twadmin -m P -p /etc/tripwire/tw.pol -S /etc/tripwire/site.key -Q passphrase /etc/tripwire/twpol.txt		twadmin -m F -c /etc/tripwire/tw.cfg -S /etc/tripwire/site.key -Q passphrase /etc/tripwire/twcfg.txt
			twadmin -m P -p /etc/tripwire/tw.pol -S /etc/tripwire/site.key -Q passphrase /etc/tripwire/twpol.txt
			</pre>

			=== With Script ===
			<pre>tripwire-setup-keyfiles</pre>

			== Init ==
	After that you can run the tripwire database init.		After that you can run the tripwire database init.
	tripwire -m i		tripwire -m i

IDS/Tripwire - Historique des versions

Didier : /* Décrypter un rapport */

Didier le 20 janvier 2016 à 10:09

Didier : /* Modification sur le système */

Didier : /* Modification sur le système */

Didier : /* Initialisation de l'application */

Didier : /* Installation */

Didier : /* Premier lancement */

Didier : /* Utilisation */

Didier le 17 décembre 2015 à 15:12

Didier le 28 octobre 2013 à 07:54

Didier : /* Décrypter un rapport */

Didier : /* Modification sur le système */

Didier : /* Modification sur le système */

Didier : /* Initialisation de l'application */

Didier : /* Installation */

Didier : /* Premier lancement */

Didier : /* Utilisation */