Avec la sortie de la nouvelle version de tripwire, j'en profite pour rédiger un tutoriel sur la configuration, l'initialisation et l'utilisation de tripwire. Tripwire ne peut que constater la modification des fichiers et doit donc être installé/configuré juste après l'installation de la distribution.
L'initialisation consiste à créer deux paires de clés, et à chiffrer le fichier de configuration, ainsi que celui de définition de la politique. La paire nommée site servant à chiffrer/déchiffrer les fichiers de configuration et de définition de la politique, et la paire nommée local servant à chiffrer/déchiffrer la base de données et les rapports.
Générer la paire de clés nommée site:
sudo twadmin -m G -v -S /etc/tripwire/site.keyGénérer la paire de clés nommée local:
sudo twadmin -m G -v -L /etc/tripwire/$(hostname --fqdn)-local.keyChiffrer le fichier de configuration avec la paire de clés nommée site:
sudo twadmin -m F -c /etc/tripwire/tw.cfg -S /etc/tripwire/site.key /etc/tripwire/twcfg.txtChiffrer le fichier de politique avec la paire de clés nommée site:
sudo twadmin -m P -p /etc/tripwire/tw.pol -S /etc/tripwire/site.key /etc/tripwire/twpol.txtCe script interactif est présent dans le paquet RPM. Dans le cas d'un déploiement automatique (via ansible ou autre), il faudra utiliser la méthode manuelle.
sudo tripwire-setup-keyfiles
----------------------------------------------
The Tripwire site and local passphrases are used to sign a variety of
files, such as the configuration, policy, and database files.
Passphrases should be at least 8 characters in length and contain both
letters and numbers.
See the Tripwire manual for more information.
----------------------------------------------
Creating key files...
(When selecting a passphrase, keep in mind that good passphrases typically
have upper and lower case letters, digits and punctuation marks, and are
at least 8 characters in length.)
Enter the site keyfile passphrase:
Verify the site keyfile passphrase:
Generating key (this may take several minutes)...Key generation complete.
(When selecting a passphrase, keep in mind that good passphrases typically
have upper and lower case letters, digits and punctuation marks, and are
at least 8 characters in length.)
Enter the local keyfile passphrase:
Verify the local keyfile passphrase:
Generating key (this may take several minutes)...Key generation complete.
----------------------------------------------
Signing configuration file...
Please enter your site passphrase:
Wrote configuration file: /etc/tripwire/tw.cfg
A clear-text version of the Tripwire configuration file:
/etc/tripwire/twcfg.txt
has been preserved for your inspection. It is recommended that you
move this file to a secure location and/or encrypt it in place (using a
tool such as GPG, for example) after you have examined it.
----------------------------------------------
Signing policy file...
Please enter your site passphrase:
Wrote policy file: /etc/tripwire/tw.pol
A clear-text version of the Tripwire policy file:
/etc/tripwire/twpol.txt
has been preserved for your inspection. This implements a minimal
policy, intended only to test essential Tripwire functionality. You
should edit the policy file to describe your system, and then use
twadmin to generate a new signed copy of the Tripwire policy.
Once you have a satisfactory Tripwire policy file, you should move the
clear-text version to a secure location and/or encrypt it in place
(using a tool such as GPG, for example).
Now run "tripwire --init" to enter Database Initialization Mode. This
reads the policy file, generates a database based on its contents, and
then cryptographically signs the resulting database. Options can be
entered on the command line to specify which policy, configuration, and
key files are used to create the database. The filename for the
database can be specified as well. If no options are specified, the
default values from the current configuration file are used.On va créer un petit script afin de modifier notre fichier de politique. Celui-ci commentera en direct, dans le fichier de politique, les fichiers absents de notre système.
Fichier /tmp/configure-tripwire.sh
#/bin/bash
while read line
do
if [ "${line:0:13}" == "### Filename:" ]
then
key=$(echo "${line:14}" | sed "s;/;\\\\/;g")
sudo sed -i -e "/${key}/ s/^/#/" /etc/tripwire/twpol.txt
fi
doneOn lance une première fois l’initialisation en envoyant la sortie sur notre script.
sudo tripwire --init 2>&1 | tee /tmp/tripwire.init.log
cat /tmp/tripwire.init.log | sudo /tmp/configure-tripwire.shUne fois notre fichier de politique modifier, on va chiffrer ce fichier, encore une fois
sudo twadmin -m P -p /etc/tripwire/tw.pol -S /etc/tripwire/site.key /etc/tripwire/twpol.txtEt on relance l'initialisation
sudo tripwire --initTripwire n'utilise que la version chiffrée des fichiers de configuration et de définition de la politique. On peut tout à fait supprimer/vider les fichiers en clair. On peut toutefois les récupérer à partir de leur version chiffrée.
Récupération du fichier de configuration
sudo twadmin -m f > /etc/tripwire/twcfg.txtRécupération du fichier de définition de la politique
sudo twadmin -m p > /etc/tripwire/twpol.txtTâches usuelles:
Vérification du système (En plus de la tâche planifiée). C'est utile après un mise à jour, pour valider ensuite ces modifications.
sudo tripwire --checkApplication des modifications du système trouvées lors de la vérification dans la base de données et rapportées dans le rapport
sudo tripwire --update --accept-all --twrfile /var/lib/tripwire/report/<nom d'hôte pleinement qualifié>-<date du rapport>-<heure du rapport>.twrMise à jour de la politique, une fois le fichier /etc/tripwire/twpol.txt modifié
sudo tripwire --update-policy -p /etc/tripwire/tw.pol --secure-mode low /etc/tripwire/twpol.txtVisualiser un rapport précis
sudo twprint -m r -r /var/lib/tripwire/report/web.tartarefr.eu-20180520-033515.twrDumper de la base de données
sudo twprint -m d