Integrit: file verification system

Da Guide@Debianizzati.Org.

(Differenze fra le revisioni)
m (Funzionamento)
m
Riga 22: Riga 22:
Il file di configurazione di integrit è semplice ed è composto dalle seguenti sezioni:
Il file di configurazione di integrit è semplice ed è composto dalle seguenti sezioni:
; root : la directory di partenza (normalmente <tt>/</tt>)
; root : la directory di partenza (normalmente <tt>/</tt>)
-
; know : il [[path]] per il database contenente lo stato ''conosciuto'' del sistema
+
; know : il [[path]] per il database contenente lo stato ''conosciuto'' del sistema (default <tt>/var/lib/integrit/known.cdb</tt>)
-
; current : il path del database usato per effettuare il confronto tra lo stato ''conosciuto'' e quello ''attuale''
+
; current : il path del database usato per effettuare il confronto tra lo stato ''conosciuto'' e quello ''attuale'' (default <tt>/var/lib/integrit/current.cdb</tt>)
seguito da un elenco di file da ignorare.
seguito da un elenco di file da ignorare.

Versione delle 10:36, 23 giu 2008

Integrit è un "file verification system": è assimilabile alla famiglia degli intrusion detection system o IDS e ha la funzione di verificare che determinati file non subiscano modifiche.

Questo genere di controlli hanno molti vantaggi:

Ovviamente non si tratta della soluzione di tutti i mali, in quanto potrebbe essere possibile che l'aggressore abbia modificato anche l'eseguibile di integrit, però un controllo in più non fa mai male!

Indice

Installazione

L'installazione è molto semplice:

# apt-get install integrit

Configurazione

I file di configurazione si trovano in /etc/integrit. Dopo l'installazione sono presenti i seguenti file:

integrit.conf 
un template di file di configurazione (infatti è tutto commentato), lo utilizzeremo in seguito come punto di partenza
integrit.debian.conf 
il file di configurazione utilizzato dal cron di Debian

Integrit

Il file di configurazione di integrit è semplice ed è composto dalle seguenti sezioni:

root 
la directory di partenza (normalmente /)
know 
il path per il database contenente lo stato conosciuto del sistema (default /var/lib/integrit/known.cdb)
current 
il path del database usato per effettuare il confronto tra lo stato conosciuto e quello attuale (default /var/lib/integrit/current.cdb)

seguito da un elenco di file da ignorare.

La sintassi dell'elenco è la seguente:

[action]/directory [controlli]

dove:

action 
è facoltativa, e rappresenta l'azione da eseguire. L'azione di default è di esplorare la directory e tutto il suo contenuto... Le alternative sono:
! : l'operatore di negazione: !/etc indica di non controllare il contenuto della directory /etc
= : indica di non esplorare ricorsivamente il contenuto della directory
$ : permette di creare una regola che non va ad agire sulle sottodirectory ma solo sulla directory(ed i file contenuti) indicata
/directory 
indica il percorso su cui agire
[controlli] 
permette di specificare i controlli da eseguire
s : checksum
i : inode
p : permessi
l : numero di link
u : uid
g : gid
z : la dimensione dei file (risulta essere un controllo ridondante se viene effettuato anche il controllo del checksum)
a : la data di accesso
m : la data di modifica
r : reimposta la data di accesso
le opzioni possono essere scritte in due modi: in minuscolo, il che indica che il controllo deve essere fatto, oppure in maiuscolo, per indicare che il controllo non deve essere effettuato.

Debian

Il file di configurazione /etc/integrit/integrit.debian.conf viene utilizzato dal cron presente in /etc/cron.daily/integrit.

Il file di configurazione è composto da quattro variabili:

CONFIGS 
contiene l'elenco dei file di configurazione da far processare ad integrit. Dopo l'installazione è vuoto, quindi dovremo aggiungere quello che abbiamo precedentemente creato: /etc/integrit/integrit.conf
EMAIL_RCPT 
l'indirizzo del destinatario di posta elettronica a cui inviare la mail di notifica (root va bene se sono stati correttamente modificati gli alias di posta, altrimenti potete tranquillamente inserire il vostro indirizzo)
EMAIL_SUBJ 
l'oggetto della mail che riceverete. Normalmente non è necessario effettuare modifiche
ALWAYS_EMAIL 
true se si desidera ricevere una mail di notifica anche quando non vengono riscontrate anomalia, false altrimenti

Una volta modificato il file di configurazione non ci resta che testare il tutto con un semplice

# /etc/cron.daily/integrit

magari impostando ALWAYS_EMAIL a true per effettuare un po' di debug.


Funzionamento

Il funzionamento è semplice: ogni volta che viene effettuato un update, viene creato il database current che raccoglie lo stato attuale del sistema. Ogni volta che viene effettuato un check, invece, viene confrontato il database di tipo current con il known, in caso di discrepanze (ed in base alle regole definite nel file di configurazione) viene generato il report.

Una volta controllate le discrepanze e verificato che siano corrette (in caso di aggiornamento di un pacchetto, ad esempio) è necessario aggiornare il database know con un semplice:

mv /var/lib/integrit/current.cdb /var/lib/integrit/known.cdb

Controllo manuale

In caso di problemi è possibile effettuare un controllo manuale richiamando lo script cron (/etc/cron.daily/integrit) oppure con un semplice:

# integrit -cu -C /etc/integrit/integrit.conf

Link Utili

Strumenti personali
Namespace
Varianti
Azioni
Navigazione
Risorse
Strumenti