(eBook - pdf - german) Intrusion Detection für Linux-Server

124 Tripwireder Buch-CD bei. Die wesentlichen Kernaussagen dieser Lizenz beinhalten (ohneGewähr auf Richtigkeit):GewährleistungsauschlussErlaubnis der weiteren Verbreitung unter den Bedingungen dieser Lizenz· Verpflichtung der Bereitstellung des Quelltextes bei Verbreitung in Binärform· Erlaubnis der Modifikation des QuelltextesAufbauTripwire besteht aus mehreren Komponenten. Es besitzt zwei Konfigurationsdateien,eine Datenbank und erzeugt Berichte bei jedem Lauf. Die beiden Konfigurationsdateiensind die eigentliche Konfigurationsdatei (twcfg.txt) und dieRichtliniendatei (Policyfile twpol.txt).Die Konfigurationsdatei speichert Angaben spezifisch für den Rechner und dasBetriebssystem. Diese Angaben wurden früher größtenteils als Optionen bei derÜbersetzung von Tripwire angegeben.Die Richtliniendatei definiert, welche Dateien auf dem System überprüft werdensollen. Hierbei erlauben die Richtlinien die Spezifikation der exakten zu überprüfendenEigenschaften und der auszulösenden Aktionen. So kann Tripwire zumBeispiel E-Mails versenden.Die Datenbank stellt das Herz von Tripwire dar. Nach der Installation und derAnpassung der Konfiguration erzeugt Tripwire die Datenbank. Diese Datenbankenthält den aktuellen Status der entsprechend der Richtliniendatei zu untersuchendenDateien. Dieser umfasst Größe, Besitzer und Prüfsummen des Inhaltesder Dateien. Diese Datenbank sollte nur erzeugt werden, wenn der Rechner sichin einem bekannten Zustand befindet. Ist bereits ein Angreifer eingedrungen, sosieht Tripwire die vom Angreifer bereits veränderten Dateien als normal an.Ein Administrator kann nun (sinnvollerweise regelmäßig) Tripwire aufrufen undden aktuellen Zustand mit dem in der Datenbank gespeicherten Zustand vergleichen.Tripwire wird modifizierte, gelöschte und hinzugefügte Dateien in einemBericht melden.Die Berichte stellen die letzte Komponente von Tripwire dar. Diese Berichtekönnen in unterschiedlichem Detailgrad auf dem Bildschirm ausgegeben, abgespeichertoder als E-Mail versandt werden.Zum eigenen Schutz werden die Datenbank und die Konfigurationsdateien vonTripwire ab Version 2.0 in einer binären und signierten Form auf der Festplattegespeichert. Ein Angreifer könnte ansonsten nach einem Einbruch die entsprechendenDateien modifizieren, die Tripwire-Konfiguration modifizieren und dieDatenbank neu erzeugen, bevor die nächste Überprüfung von Tripwire durch-