Tripwireによるホスト型IDSの構築：ゼロから始めるLinuxセキュリティ（8）（3/3 ページ）

[大貫大輔，株式会社ラック／不正アクセス対策事業本部]

ベースラインデータベースの作成

　ポリシーファイルを生成したら、ポリシーファイルを基にベースラインデータベースを作成します。整合性チェックでは、このデータベースと比較されるのです。

　ベースラインデータベースは、tripwireコマンドで作成します。

# /usr/sbin/tripwire -m i
Please enter your local passphrase:
Parsing policy file: /etc/tripwire/tw.pol
Generating the database...
*** Processing Unix File System ***
Wrote database file: /var/lib/tripwire/atmarkit.twd
The database was successfully generated.

　tripwireコマンドのオプションを以下に示します。

• -m i、--init
  データベースの初期化時に指定
• -v、--verbose
  詳細表示モード
• -s、--silent、--quiet
  簡易出力モード
• -c 設定ファイル、--cfgfile 設定ファイル
  使用する設定ファイルを指定
• -p ポリシーファイル、--polfile ポリシーファイル
  使用するポリシーファイル名を指定
• -d データベースファイル、--dbfile データベースファイル
  データベースファイル名を指定
• -S サイトキー、--sitekey-file サイトキー
  設定ファイルとポリシーファイルを読み込むときに使用するサイトキーを指定
• -L ローカルキー、--local-keyfile ローカルキー
  新しいデータベースファイルを書き込むときに使用するローカルキーを指定
• -P パスフレーズ、--local-passphrase パスフレーズ
  新しいデータベースファイルの署名に指定したパスフレーズをローカルキーと一緒に指定
• -e、--no-encryption
  データベースファイルを暗号署名しない

　ここで、多くのWarningが出るかもしれません。それらのほとんどは、指定されたファイルが存在しないという内容でしょう。そこでポリシーファイルの調整が必要になるのです。存在しないファイルやディレクトリを監査対象としても意味がありません。そこで、クリアテキストで作成されたファイルを再度確認してみましょう。

　ベースラインデータベース作成時に「存在しない」とされたファイルやディレクトリが監査対象として指定されていないか確認します。記述があるようであれば、行頭に「#」を挿入してコメントアウトするか、その行を削除しましょう。ただし、パスが異なるだけで、実はファイルが存在する可能性もあることに注意してください。

　これで、整合性チェックを行うための「一応の」準備は完了です。

Tripwireの基本的な運用方法

整合性チェック

　実際に整合性チェックを実行してみましょう。ベースラインデータベース作成後、特に変更を行わなければ何も違反は警告されないでしょう。

# /usr/sbin/tripwire -m c
Parsing policy file: /etc/tripwire/tw.pol
*** Processing Unix File System ***
Performing integrity check...
Wrote report file: /var/lib/tripwire/report/atmarkit-YYYYMMDD-hhmmss.twr
（中略）
*** End of report ***
Tripwire 2.3 Portions copyright 2000 Tripwire, Inc. Tripwire is a 
registered
trademark of Tripwire, Inc. This software comes with ABSOLUTELY NO
 WARRANTY;
for details use --version. This is free software which may be 
redistributed
or modified only under certain conditions; see COPYING for details.
All rights reserved.
Integrity check complete.

　これで、整合性チェックは完了です。整合性チェックでのtripwireコマンドのオプションを以下に示します（既出コマンドは省略）。

• -m c、--check
  整合性チェック時に指定
• -I、--interactive
  整合性チェック終了後、結果のレポートがデータベースのアップデートのためにエディタで開かれる
• -r レポートファイル、--twrfile レポートファイル
  指定されたファイルにレポートを出力する
• -n、--no-tty-output
  コンソールに表示されるレポートを抑制
• -V エディタ、--visual エディタ
  指定されたエディタでバロットボックスの編集を行う
• -E、--signed-report
  レポートに署名するように指定
• -i リスト、--ignore リスト
  リストに指定されたプロパティを処理・比較しない
• -l { レベル | 名前 }、severity { レベル | 名前 }
  指定されたレベル、名前以上のポリシールールのみをチェック
• -R ルール、--rule-name ルール
  指定されたポリシールールのみチェック
• -x セクション、--section セクション
  ポリシーファイルの指定されたセクションのルールのみチェック
• -M、--email-report
  ポリシーファイルで指定されたアドレスにレポートを送信する
• -t レベル、--email-report-level レベル
  メールレポートのレベルを指定（0〜4）

レポートチェック

　整合性チェックの結果は標準出力およびレポートファイルに出力されます。この内容を確認するには、次のコマンドを実行します。

# /usr/sbin/twprint -m r -c tw.cfg -r "レポートファイル名" -L local.key -t 4

　twprintコマンドのオプションを以下に示します。

• -m r、--print-report
  レポート表示の指定
• -v、--verbose
  詳細表示モード
• -s、--silent、--quiet
  簡易出力モード
• -c 設定ファイル、--cfgfile 設定ファイル
  使用する設定ファイルを指定
• -r レポートファイル、--twrfile レポートファイル
  指定したレポートファイルを表示
• -L ローカルキー、--local-keyfile ローカルキー
  指定したローカルキーを使用してレポートファイルを検証する
• -t レベル、--report-level レベル
  出力するレポートのレベルを0〜4の数字で指定

　レポートファイル名は整合性チェックを行ったときに表示されます。デフォルトでは/var/lib/tripwire/report/{ホスト名}-{日付}-{時間}.twrとなります。また、出力先は設定ファイルで変更できます。

「次回」へ

「ゼロから始めるLinuxセキュリティ」バックナンバー

• ネットワーク型IDS「Snort」のシグネチャ作成法
• ネットワーク型IDS「Snort」の導入
• Tripwire運用の勘所
• Tripwireによるホスト型IDSの構築
• Linuxで使える侵入検知システム（IDS）
• ファイアウォールの設定・動作チェック方法
• Linuxで作るファイアウォール［パケットフィルタリング設定編］
• Linuxで作るファイアウォール［NAT設定編］
• Linuxで作るファイアウォール［準備編］
• ホストレベルセキュリティの総仕上げ
• インストール直後に絶対やるべき作業と設定