IDS/Tripwire

Installation

L'installation est triviale car le paquet est présent dans les dépôts de base Fedora et dans les dépôts EPEL pour CentOS.

yum install tripwire

Initialisation de l'application

L'installation via RPM installe un fichier de configuration et un fichier définissant la politique par défaut dans le dossier <path>/etc/tripwire</path>. Ces fichiers ne peuvent être utilisés directement par tripwire, car celui-ci travaille avec des fichiers cryptés.

La documentation (la page man de tripwire contient toutes les informations nécessaires) nous apprend qu'il va nous falloir 2 clés:

• site.key: Une clé servant à encrypter le fichier de définition de la politique sur un ou plusieurs systèmes
• hostname-local.key: Une autre clé servant uniquement à crypter les fichiers utilisés localement (il est donc unique sur chaque système)

Suivant l'opération à effectuer, une ou deux clés seront requises.

Méthode manuelle

Génération de deux clés

twadmin -m G -v -S /etc/tripwire/site.key -Q passphrase
twadmin -m G -v -L /etc/tripwire/hostname-local.key -P passphrase

Une fois les clés générées, on va pouvoir encrypter le fichier de configuration et le fichier définissant la politique. C'est une protection contre la modification des fichiers par un éventuelle attaquant.

twadmin -m F -c /etc/tripwire/tw.cfg -S /etc/tripwire/site.key -Q passphrase /etc/tripwire/twcfg.txt
twadmin -m P -p /etc/tripwire/tw.pol -S /etc/tripwire/site.key -Q passphrase /etc/tripwire/twpol.txt

Avec un Script

tripwire-setup-keyfiles

----------------------------------------------
The Tripwire site and local passphrases are used to sign a  variety  of
files, such as the configuration, policy, and database files.

Passphrases should be at least 8 characters in length and contain  both
letters and numbers.

See the Tripwire manual for more information.

----------------------------------------------
Creating key files...

(When selecting a passphrase, keep in mind that good passphrases typically
have upper and lower case letters, digits and punctuation marks, and are
at least 8 characters in length.)

Enter the site keyfile passphrase:
Verify the site keyfile passphrase:
Generating key (this may take several minutes)...Key generation complete.

(When selecting a passphrase, keep in mind that good passphrases typically
have upper and lower case letters, digits and punctuation marks, and are
at least 8 characters in length.)

Enter the local keyfile passphrase:
Verify the local keyfile passphrase:
Generating key (this may take several minutes)...Key generation complete.

----------------------------------------------
Signing configuration file...
Please enter your site passphrase: 
Wrote configuration file: /etc/tripwire/tw.cfg

A clear-text version of the Tripwire configuration file:
/etc/tripwire/twcfg.txt
has been preserved for your inspection.  It  is  recommended  that  you
move this file to a secure location and/or encrypt it in place (using a
tool such as GPG, for example) after you have examined it.


----------------------------------------------
Signing policy file...
Please enter your site passphrase: 
Wrote policy file: /etc/tripwire/tw.pol

A clear-text version of the Tripwire policy file:
/etc/tripwire/twpol.txt
has been preserved for  your  inspection.  This  implements  a  minimal
policy, intended only to test  essential  Tripwire  functionality.  You
should edit the policy file to  describe  your  system,  and  then  use
twadmin to generate a new signed copy of the Tripwire policy.

Once you have a satisfactory Tripwire policy file, you should move  the
clear-text version to a secure location  and/or  encrypt  it  in  place
(using a tool such as GPG, for example).

Now run "tripwire --init" to enter Database Initialization  Mode.  This
reads the policy file, generates a database based on its contents,  and
then cryptographically signs the resulting  database.  Options  can  be
entered on the command line to specify which policy, configuration, and
key files are used  to  create  the  database.  The  filename  for  the
database can be specified as well. If no  options  are  specified,  the
default values from the current configuration file are used.

Utilisation

Premier lancement

On va lancer la génération de la base avec la politique par défaut, l'affinage se fera dans un second temps, après la première vérification.

tripwire --init

Le premier rapport de tripwire va contenir beaucoup de faux-positif, car la politique par défaut est généraliste.

### Warning: File system error.
### Filename: /usr/sbin/fixrmtab
### Aucun fichier ou dossier de ce type
### Continuing...

On va donc lister tous les fichiers inexistant en générant un rapport de vérification

tripwire --check | grep '### Filename' | tee twtest.txt

et commenter les fichiers inexistants dans le fichier de définition de la politique <path>/etc/tripwire/twpol.txt</path>

Modification de la politique

Une fois le fichier de définition de la politique modifié, il faut l'encrypter et ré-initialiser la base de données

twadmin --update-policy /etc/tripwire/twpol.txt
tripwire --init

Modification sur le système

Une fois le système modifié, suite à une mise à jour par exemple, il faut mettre à jour la base de données de tripwire en acceptant les modifications d'un rapport (en général le dernier rapport créé) servant de référence.

Tripwire ne va mettre à jour que les éléments rapportés dans ce rapport (ajout/suppression/modification), ce qui rend l'opération très rapide.

tripwire --update -a --twrfile /var/lib/tripwire/report/localhost-lastest.twr

Décrypter un rapport

Les rapports tripwire (localisés dans <path>/var/lib/tripwire/report/</path>) étant cryptés, la lecture doit se faire à l'aide d'un utilitaire fournit par le paquet tripwire

twprint --print-report --twrfile /var/lib/tripwire/report/localhost-lastest.twr

Génération manuelle de signature

Le paquet tripwire fournit un utilitaire calculant les sommes de contrôle d'un fichier

siggen /root/.bashrc 
--------------------------------------------------------------------------------
Signatures for file: /root/.bashrc

CRC32               BHT0Cs
MD5                 CwY+CrtjstBa28sj0FsHBr
SHA                 ACvBSZWywMS6n4W44NqHgCigQGz
HAVAL               AocbY3K9hcyO229F8iRtCk
--------------------------------------------------------------------------------

Durcissement de la sécurité

• Tripwire ne peut que constater la modification des fichiers et doit donc être installé/configuré en même temps que la distribution.
• Tripwire n'utilise que la version cryptée des fichier de configuration et de définition de la politique. C'est pourquoi il est recommandé de supprimé les fichiers en clair

  rm /etc/tripwire/twpol.txt /etc/tripwire/twcfg.txt

  Les fichiers peuvent être générés à partir de leur version cryptée.

  twadmin -m p > /etc/tripwire/twpol.txt

  twadmin -m f > /etc/tripwire/twcfg.txt