tripwire 架設與管理

Ubuntu 16.04 架設

1. 安裝 tripewire 套件
apt install tripwire

設定 postfix
1_install.JPG - tripwire_u
光溜溜的 Ubuntu 在安裝 tripwire 時，會同時安裝 postfix，還自動引導設定

1_install_3.JPG - tripwire_u
詢問mail server 用途，towns 選了第三項。不知道衛星系統是什麼呢？

1_install_4.JPG - tripwire_u
主機名稱，一般來說，如果在架設 Ubuntu 系統時，有設定名稱及 Domain，這個值會自動帶入

1_install_5.JPG - tripwire_u
towns 選了第三項，所以會有 relay host 設定

設定 tripwire
1_install_8.JPG - tripwire_u
說明架設需設定的流程，及參考資料

1_install_7.JPG - tripwire_u
在設定過程中是否同時產生 site key

1_install_10.JPG - tripwire_u
重建設定檔

1_install_11.JPG - tripwire_u
重建規則檔

1_install_12.JPG - tripwire_u
產生 site-key 並建立密碼


1_install_13.JPG - tripwire_u
再打一次密碼

1_install_14.JPG - tripwire_u
產生 local-key 並建立密碼

1_install_15.JPG - tripwire_u
再打一次密碼

1_install_17.JPG - tripwire_u
完成安裝

2. 建立資料庫檔
tripwire --init 
2_create_db.JPG - tripwire_u
使用預設的規則檔建立資料庫時，會產生很多的 error 主要是因為預設規則檔有很多不必需要的設定

2_create_db_6.JPG - tripwire_u
建立完成

3. 調整規則（選用）
vi /etc/tripwire/twpol.txt
在建立時產生的錯誤，可以用來調整不需要的規則設定

4. 重建資料庫檔（選用）
twadmin --create-polfile -S /etc/tripwire/site.key /etc/tripwire/twpol.txt <== 重建規則加密檔
tripwire --init <== 重建資料庫
這次的重建，就不會出現大量的錯誤了

5. 測試產生報告
tripwire --check > /home/towns/tripwire_test.txt
twprint --print-report -r /var/lib/tripwire/report/towns-test-centos7-20171121-110311.twr > /home/towns/tripwire_test_2.txt

6. 測試發信
tripwire --test --email <email address>

註1：調整 postfix main.cf 檔中 inet_interfaces =  改為 127.0.0.1
註2：如果有仔細看內容（別擔心是英文的），一定看的懂是要設什麼

CentOS 7 架設

1. 安裝 tripwire 套件
yum install tripwire

2. 建立 key、設定檔及規則檔
tripwire-setup-keyfiles
1_before.JPG - tripwire
在建立 keyfile 前，tripware 設定檔路徑中，只有這兩個檔案

2_create_key.JPG - tripwire
建立 keyfile 時，會同時要求產生 sit key 及 local key

3_create_set_db.JPG - tripwire
key 建立後，會建立加密的設定檔及規則檔

4_after.JPG - tripwire
建立完成後，在設定路徑中會多出 key 檔及加密的設定檔

3. 建立資料庫檔
tripwire --init

3. 調整規則（選用）
vi /etc/tripwire/twpol.txt
在建立時產生的錯誤，可以用來調整不需要的規則設定

4. 重建資料庫檔（選用）
twadmin --create-polfile -S /etc/tripwire/site.key /etc/tripwire/twpol.txt <== 重建規則加密檔
tripwire --init <== 重建資料庫
這次的重建，就不會出現大量的錯誤了

6. 測試產生報告
tripwire --check > /home/towns/tripwire_test.txt
twprint --print-report -r /var/lib/tripwire/report/towns-test-centos7-20171121-110311.twr > /home/towns/tripwire_test_2.txt

7. 測試發信
tripwire --test --email <email address> 

註：安裝 tripwire 必需先安裝 epel 的 repo

常用指令、參數說明

tripwire --test --email <email address> <== 測試 tripwire 發信是否正常
如果正常，收到內容為 If you receive this message, email notification from tripwire is working correctly. 的信件

twprint --print-dbfile <== 查看資料庫內容
twadmin --print-polfile > /etc/tripwire/twpol.txt <== 匯出目前規則檔
twadmin --print-cfgfile > /etc/tripwire/twcfg.txt <== 匯出目前設定檔
twadmin --create-polfile -S /etc/tripwire/site.key /etc/tripwire/twpol.txt <== 重建修改後的規則檔
twadmin --create-cfgfile -S /etc/tripwire/site.key /etc/tripwire/twcfg.txt <== 重建修改後的設定檔 

檔案路徑

DBFILE                 =/var/lib/tripwire/$(HOSTNAME).twd
REPORTFILE             =/var/lib/tripwire/report/$(HOSTNAME)-$(DATE).twr 

Ubuntu 及 CentOS 設定檔的差異

ubuntu_twcfg.JPG - tripwire_u
Ubuntu 的設定檔

centos_twcfg.JPG - tripwire
CentOS 的設定檔

差別只有發信設定不同，Ubuntu 是登入 SMTP 發信，CentOS 是使用指令發信 

寄送信件問題

如果要 tripwire 自動發信，記得在設定檔中（twcfg.txt）加入 GLOBALEMAIL =<mail address> 參數，並確認每日執行檔（/etc/cron.daily/tripwire-check）是否有加 --email-report，這樣 tripwire 在執行後，就會自動發信給指定信箱了

註1：如果要發送給多人可以用 , 或 ; 區隔
註2：預設的設定檔並沒有將這個值寫入，雖然執行檔中有加入 --email-report 仍然是不會寄信的
註3：如果要寄給 root 就在設定檔中這樣寫 GLOBALEMAIL =root

參考資料：
CentOS7 tripwire 執行檔 /etc/cron.daily/tripwire-check 

 

 

參考資料：
楊中皇先生文章
http://crypto.nknu.edu.tw/netsec/using-Tripwire.htm

CSX -- 詳細教學
https://www-uxsup.csx.cam.ac.uk/pub/doc/redhat/redhat7.3/rhl-rg-en-7.3/ch-tripwire.html

http://www.rocksclusters.org/roll-documentation/area51/4.1/using-tripwire.html

留言

張貼留言

這個網誌中的熱門文章

zimbra 安裝、管理、設定

zimbra 安裝   設定檔路徑 /opt/zimbra/conf 檔案上傳路徑 /opt/zimbra/data/tmp/upload MySQL 資料 要先使用 zimbra 帳號，才能登入資料庫 https://wiki.zimbra.com/wiki/MySQL_Backup_and_Restore   mysql 設定檔路徑 /opt/zimbra/conf/my.cnf 通訊錄匯出 登入管理者 ==> 搜尋 帳戶 ==> 按下齒輪旁的倒三角 ==> 下載 https://community.bittitan.com/kb/Pages/How%20do%20I%20export%20a%20user%20list%20from%20Zimbra%20into%20a%20CSV%20file.aspx 延伸套件 zimbra 有很多延伸套件可以使用，其中就有一個是郵件下載打包工具 Email Downloader，這個工具就可以協助整郵件了。 安裝方式： 登入管理者介面 ==> 設定 ==> Zimlet ==> 右上方“齒輪” ==> 佈署 ==> 瀏覽 ==> 選擇指定檔案 ==> 點 佈署，就會放上去了 移除方式 登入管理者介面 ==> 設定 ==> Zimlet ==> 在指定的套件上按滑鼠右鍵 ==> 關閉佈署 停用方式 登入管理者介面 ==> 設定 ==> Zimlet ==> 在指定的套件上按滑鼠右鍵 ==> 切換狀態 註：記得下載的檔案名稱應與 zip 檔中 xml 檔名相同，否則安裝會失敗 相關資料： 官方延伸套件網站 https://www.zimbra.org/extend/ email 下載套件 https://www.zimbra.org/extend/items/view/email-downloader  補充1：使用 downloader 這個套件，必需使用 AJAX 閱讀模式，而且是用拖拉方式到這個套件上面 補充2：會先產生 zip 檔，而檔案內容為 *.eml 檔 補充3：如果停用再啟用可能會造成功能異常，這時就刪除重裝，記得要勾選 清除Zimlet 快取 重新啟動 zimb...
閱讀完整內容

Fortigate 100D -- 管理、設定

圖片
有不少設定可以來寫一下 韌體降版、昇版方式 1. 重開後到管理清單 重開後到Press any key to display configuration menu.. 按 enter 進入管理畫面（請仔細看文字說明，很簡單） 2. F format 掉 partition 按 F 後開始將 boot device 中的設定資訊刪除 註：原廠建議刪除後再匯入設定 3. 設定 TFTP 資訊 在 formating 完成後，按 C 進入 TFTP 設定 towns 看了 local ip（I）、remote TFTP ip（T） 及 firmware image（F） 檔案名稱，並檔案名稱修改了名稱 4. 回到第一個選單，並按 T，這時系統要求連接 TFTP 主機到 Ethernet port “MGMT” 介面 5. 連接 TFTP server 與 100D（一般是使用 Ethernet MGMT介面，請仔細看文字說明） 註1：連接 TFTP server 條件。使用“跳線”連接 TFTP 主機（或使用 hub 連接），100D 才能抓到 TFTP 主機 註2：將要更新的檔案放到 TFTP 設定的資料匣，100D才能依檔名抓到指定的 firmware image 6.完成韌體更新 完成後使用 D（Default firmware）設回預設值 7. 設回預設值 官方文件 http://kb.fortinet.com/kb/microsites/microsite.do?cmd=displayKC&docType=kc&externalId=10338&sliceId=1&docTypeID=DT_KCARTICLE_1_1 老森大 http://blog.752club.com/fortigate-fg-110c-after-upgrade-firmware-crash-rewrite-firmware/ William 大協助 還原 100D 設定 直接由 web 介面匯入就可以了 註：匯入設定值後，要注意，原本的設定方式（如 super_admin 權限的管理，會造成無法登入 web 介面，因為 towns 有鎖 IP，就造成MGMT 無法登入 Web 介面，記得到 console 中將設定改掉） console 指令 現在很多...
閱讀完整內容

IT 隨手記6

圖片
1. 清除 Chrome、firefox dns cache Chrome 1. 於網址列打入 chrome://net-internals/#dns 2. 點 clean host cache 註：這個英文看起來比較像是清除本機的 DNS 快取 Firefox 1. 於網址列打入 about:config 2. 點 "我發誓，我一定會小心的" 3. 找 network.dnsCacheExpiration 設定為 0 # 找不到跳下面步驟 4. 按 滑鼠右鍵, 新增此值 字串: network.dnsCacheExpiration, 值: 0 5. 再編輯 network.dnsCacheExpiration 設定為 3600 上述 3,4 步驟設定後, Firefox 已經將 DNS Cache 清除, 再做第五步驟, 是要將 DNS Cache 設定過期時間為 3600秒. 補充：Firefox 的設定值是過期時間。towns 的預設值為 60秒 參考資料：Tsung's Blog https://blog.longwin.com.tw/2013/08/firefox-chrome-clean-cache-2013/  2. 雙因子認證設備（未完成） 這個設備的目地是用來連入特定主機的 Linux 下的安裝 windows 下的安裝方式 官方網址： https://www.yubico.com/   PCIDSS 多因子認證討論 https://blog.vasco.com/legal/multi-factor-authentication-pci-dss-3-2/ Tsung 大的文章 -- google 兩階段認證 https://blog.longwin.com.tw/2014/10/ssh-google-2-factor-authentication-2014/ 3. HP C309a 無法安裝軟體 出現 usb 問題，無法安裝 處理方式： 1. 先使用 USB 接上印表機，使用自動更新驅動程式（或到官方下載USB驅動程式），更新完成後，再安裝軟體 2. 將 USB 測試工具移除（ USBReady.exe ）後，再執行 Setup 參考資料： HP 討論版 https://h30471.www3.hp.com/t5/fan...
閱讀完整內容