Avec la sortie de la nouvelle version de tripwire, j’en profite pour rédiger un tutoriel sur la configuration, l’initialisation et l’utilisation de tripwire.
Tripwire ne peut que constater la modification des fichiers et doit donc être installé/configuré juste après l’installation de la distribution.
Configuration initiale
L’initialisation consiste à créer deux paires de clés, et à chiffrer le fichier de configuration, ainsi que celui de définition de la politique. La paire nommée site servant à chiffrer/déchiffrer les fichiers de configuration et de définition de la politique, et la paire nommée local servant à chiffrer/déchiffrer la base de données et les rapports.
Méthode manuelle pas à pas
Générer la paire de clés nommée site:
sudo twadmin -m G -v -S /etc/tripwire/site.key
Générer la paire de clés nommée local:
sudo twadmin -m G -v -L /etc/tripwire/$(hostname --fqdn)-local.key
Chiffrer le fichier de configuration avec la paire de clés nommée site:
sudo twadmin -m F -c /etc/tripwire/tw.cfg -S /etc/tripwire/site.key /etc/tripwire/twcfg.txt
Chiffrer le fichier de politique avec la paire de clés nommée site:
sudo twadmin -m P -p /etc/tripwire/tw.pol -S /etc/tripwire/site.key /etc/tripwire/twpol.txt
Avec le script qui va bien
Ce script interactif est présent dans le paquet RPM. Dans le cas d’un déploiement automatique (via ansible ou autre), il faudra utiliser la méthode manuelle.
sudo tripwire-setup-keyfiles ---------------------------------------------- The Tripwire site and local passphrases are used to sign a variety of files, such as the configuration, policy, and database files. Passphrases should be at least 8 characters in length and contain both letters and numbers. See the Tripwire manual for more information. ---------------------------------------------- Creating key files... (When selecting a passphrase, keep in mind that good passphrases typically have upper and lower case letters, digits and punctuation marks, and are at least 8 characters in length.) Enter the site keyfile passphrase: Verify the site keyfile passphrase: Generating key (this may take several minutes)...Key generation complete. (When selecting a passphrase, keep in mind that good passphrases typically have upper and lower case letters, digits and punctuation marks, and are at least 8 characters in length.) Enter the local keyfile passphrase: Verify the local keyfile passphrase: Generating key (this may take several minutes)...Key generation complete. ---------------------------------------------- Signing configuration file... Please enter your site passphrase: Wrote configuration file: /etc/tripwire/tw.cfg A clear-text version of the Tripwire configuration file: /etc/tripwire/twcfg.txt has been preserved for your inspection. It is recommended that you move this file to a secure location and/or encrypt it in place (using a tool such as GPG, for example) after you have examined it. ---------------------------------------------- Signing policy file... Please enter your site passphrase: Wrote policy file: /etc/tripwire/tw.pol A clear-text version of the Tripwire policy file: /etc/tripwire/twpol.txt has been preserved for your inspection. This implements a minimal policy, intended only to test essential Tripwire functionality. You should edit the policy file to describe your system, and then use twadmin to generate a new signed copy of the Tripwire policy. Once you have a satisfactory Tripwire policy file, you should move the clear-text version to a secure location and/or encrypt it in place (using a tool such as GPG, for example). Now run "tripwire --init" to enter Database Initialization Mode. This reads the policy file, generates a database based on its contents, and then cryptographically signs the resulting database. Options can be entered on the command line to specify which policy, configuration, and key files are used to create the database. The filename for the database can be specified as well. If no options are specified, the default values from the current configuration file are used.
Initialisation
On va créer un petit script afin de modifier notre fichier de politique. Celui-ci commentera en direct, dans le fichier de politique, les fichiers absents de notre système.
#/bin/bash
while read line
do
if [ "${line:0:13}" == "### Filename:" ]
then
key=$(echo ${line:14} | sed "s;/;\\\\/;g")
sudo sed -i -e "/${key}/ s/^/#/" /etc/tripwire/twpol.txt
fi
done
On lance une première fois l’initialisation en envoyant la sortie sur notre script.
sudo tripwire --init | /tmp/configure-tripwire.sh
Une fois notre fichier de politique modifier, on va chiffrer ce fichier, encore une fois
sudo twadmin -m P -p /etc/tripwire/tw.pol -S /etc/tripwire/site.key /etc/tripwire/twpol.txt
Et on relance l’initialisation
sudo tripwire --init
Utilisation
Tripwire n’utilise que la version chiffrée des fichiers de configuration et de définition de la politique. On peut tout à fait supprimer/vider les fichiers en clair. On peut toutefois les récupérer à partir de leur version chiffrée.
- Récupération du fichier de configuration
sudo twadmin -m f > /etc/tripwire/twcfg.txt
- Récupération du fichier de définition de la politique
sudo twadmin -m p > /etc/tripwire/twpol.txt
Tâches usuelles:
- Vérification du système (En plus de la tâche planifiée). C’est utile après un mise à jour, pour valider ensuite ces modifications.
sudo tripwire --check
- Application des modifications du système trouvées lors de la vérification dans la base de données et rapportées dans le rapport
sudo tripwire --update --accept-all --twrfile /var/lib/tripwire/report/<nom d'hôte pleinement qualifié>-<date du rapport>-<heure du rapport>.twr
- Mise à jour de la politique, une fois le fichier /etc/tripwire/twpol.txt modifié
sudo tripwire --update-policy -p /etc/tripwire/tw.pol --secure-mode low /etc/tripwire/twpol.txt
- Visualiser un rapport précis
sudo twprint -m r -r /var/lib/tripwire/report/web.tartarefr.eu-20180520-033515.twr
- Dumper de la base de données
sudo twprint -m d