3 581
contributi
Integrit: file verification system: differenze tra le versioni
Vai alla navigazione
Vai alla ricerca
m
Integrit: file verification system (visualizza wikitesto)
Versione delle 19:31, 14 mag 2015
, 14 mag 2015nessun oggetto della modifica
m (primo inserimento) |
mNessun oggetto della modifica |
||
| (14 versioni intermedie di 5 utenti non mostrate) | |||
| Riga 1: | Riga 1: | ||
Integrit è un "file verification system": è assimilabile alla famiglia degli [[intrusion detection system]] o [[IDS]] e ha la funzione di verificare che determinati file non subiscano modifiche. | {{Versioni compatibili|Squeeze|Wheezy|Jessie}} | ||
== Introduzione == | |||
[http://integrit.sourceforge.net/ Integrit] è un "file verification system": è assimilabile alla famiglia degli [[intrusion detection system]] o [[IDS]] e ha la funzione di verificare che determinati file non subiscano modifiche. | |||
Questi controlli sull'integrità dei file hanno molti vantaggi: | |||
* non sono pesanti: infatti vengono eseguiti prevalentemente di notte e | * non sono pesanti: infatti vengono eseguiti prevalentemente di notte e richiedono pochi minuti | ||
* sono utili: un aggressore che vuole nascondere dei file, accessi o servizi potrebbe modificare file come [[netstat]], [[last]], [[w]], ls... | * sono utili: un aggressore che vuole nascondere dei file, accessi o servizi potrebbe modificare file come [[netstat]], [[last]], [[w]], ls... | ||
* si affiancano a [[ids]] di rete e software come [[rkhunter]] | * si affiancano a [[intrusion detection system|ids]] di rete e software come [[rkhunter]] | ||
Ovviamente non si tratta della soluzione di tutti i mali, in quanto potrebbe essere possibile che l'aggressore abbia modificato anche l'eseguibile di integrit, però un controllo in più non fa mai male! | Ovviamente non si tratta della soluzione di tutti i mali, in quanto potrebbe essere possibile che l'aggressore abbia modificato anche l'eseguibile di <code>integrit</code>, però un controllo in più non fa mai male! | ||
= Installazione = | == Installazione == | ||
L'installazione è molto semplice, con [[privilegi di amministrazione]]: | |||
<pre> | |||
# apt-get install integrit | |||
</pre> | |||
= Configurazione = | == Configurazione == | ||
I file di configurazione si trovano in <code>/etc/integrit</code>. Dopo l'installazione sono presenti i seguenti file: | |||
; <code>integrit.conf</code> : un template di file di configurazione (infatti è tutto commentato), lo utilizzeremo in seguito come punto di partenza; | |||
; <code>integrit.debian.conf</code> : il file di configurazione utilizzato dal [[cron]] di Debian. | |||
= Controllo manuale = | === Integrit === | ||
Il file di configurazione di integrit è semplice ed è composto dalle seguenti sezioni (inizialmente commentate): | |||
; root : la directory di partenza (normalmente <code>/</code>) | |||
; know : il [[path]] per il database contenente lo stato ''conosciuto'' del sistema (default <code>/var/lib/integrit/known.cdb</code>) | |||
; current : il path del database usato per effettuare il confronto tra lo stato ''conosciuto'' e quello ''attuale'' (default <code>/var/lib/integrit/current.cdb</code>) | |||
seguito da un elenco di file da ignorare. | |||
La sintassi dell'elenco è la seguente: | |||
<pre> | |||
[action]/directory [controlli] | |||
</pre> | |||
dove: | |||
; action : è facoltativa, e rappresenta l'azione da eseguire. L'azione di default è di esplorare la directory e tutto il suo contenuto. Le alternative sono: | |||
: <code>!</code> : l'operatore di negazione: <code>!/etc</code> indica di non controllare il contenuto della directory <code>/etc</code>; | |||
: <code>=</code> : indica di non esplorare ricorsivamente il contenuto della directory; | |||
: <code>$</code> : permette di creare una regola che non va ad agire sulle sottodirectory ma solo sulla directory (ed i file contenuti) indicata | |||
; /directory : indica il percorso su cui agire; | |||
; [controlli] : permette di specificare i controlli da eseguire; | |||
: <code>s</code> : [[checksum]]; | |||
: <code>i</code> : [[inode]]; | |||
: <code>p</code> : permessi; | |||
: <code>l</code> : numero di link; | |||
: <code>u</code> : [[uid]]; | |||
: <code>g</code> : [[gid]]; | |||
: <code>z</code> : la dimensione dei file (risulta essere un controllo ridondante se viene effettuato anche il controllo del checksum); | |||
: <code>a</code> : la data di accesso; | |||
: <code>m</code> : la data di modifica; | |||
: <code>r</code> : reimposta la data di accesso | |||
: le opzioni possono essere scritte in due modi: in minuscolo, il che indica che il controllo deve essere fatto, oppure in maiuscolo, per indicare che il controllo non deve essere effettuato. | |||
È necessario decommentare le opzioni principali del file, personalizzandole se necessario, e aggiungere le altre azioni desiderate, per poter eseguire il comando. Non c'è infatti un'impostazione di default. | |||
=== Debian === | |||
Il file di configurazione <code>/etc/integrit/integrit.debian.conf</code> viene utilizzato dal cron presente in <code>/etc/cron.daily/integrit</code>. | |||
Il file di configurazione è composto da quattro variabili: | |||
; <code>CONFIGS</code> : contiene l'elenco dei file di configurazione da far processare ad integrit. Dopo l'installazione è vuoto, quindi dovremo aggiungere quello che abbiamo precedentemente creato: <code>/etc/integrit/integrit.conf</code>; | |||
; <code>EMAIL_RCPT</code> : l'indirizzo del destinatario di posta elettronica a cui inviare la mail di notifica (root va bene se sono stati correttamente modificati gli alias di posta, altrimenti potete tranquillamente inserire il vostro indirizzo); | |||
; <code>EMAIL_SUBJ</code> : l'oggetto della mail che riceverete. Normalmente non è necessario effettuare modifiche; | |||
; <code>ALWAYS_EMAIL</code> : ''true'' se si desidera ricevere una mail di notifica anche quando non vengono riscontrate anomalia, ''false'' altrimenti. | |||
Una volta modificato il file di configurazione non ci resta che testare il tutto con un semplice | |||
<pre> | |||
# /etc/cron.daily/integrit | |||
</pre> | |||
magari impostando <code>ALWAYS_EMAIL</code> a ''true'' per effettuare un po' di [[debug]]. | |||
== Funzionamento == | |||
Il funzionamento è semplice: ogni volta che viene effettuato un update, viene creato il database '''current''' che raccoglie lo stato attuale del sistema. Ogni volta che viene effettuato un check, invece, viene confrontato il database di tipo '''current''' con il '''known''', in caso di discrepanze (ed in base alle regole definite nel file di configurazione) viene generato il report. | |||
Una volta controllate le discrepanze e verificato che siano corrette (in caso di aggiornamento di un pacchetto, ad esempio) è necessario aggiornare il database '''know''' con un semplice: | |||
<pre> | |||
mv /var/lib/integrit/current.cdb /var/lib/integrit/known.cdb | |||
</pre> | |||
== Controllo manuale == | |||
In caso di problemi è possibile effettuare un controllo manuale richiamando lo script cron (<code>/etc/cron.daily/integrit</code>) oppure con un semplice: | |||
<pre> | |||
# integrit -cu -C /etc/integrit/integrit.conf | |||
</pre> | |||
== Link Utili == | |||
* Home Page del progetto: http://integrit.sourceforge.net/ | |||
{{Autori | |||
|Autore = [[Utente:MaXeR|MaXeR]] | |||
}} | |||
[[Categoria:Monitoraggio]] | |||