linux – Tripwire政策建议

我在debian服务器上安装了tripwire,默认策略有一些奇怪的设置.

#
# Critical devices
#
(
  rulename = "Devices & Kernel information",severity = $(SIG_HI),)
{
    /dev            -> $(Device) ;
#   /proc           -> $(Device) ;
}

/ proc是非常不稳定的,所以我已经评论过了,但我想我应该在这里明确地说明一些内容.我有一些想法,但我会就此问题提出建议.

其他的是/ var / log：

#
# These files change every time the system boots
#
(
  rulename = "System boot changes",severity = $(SIG_HI)
)
{
    /var/lock               -> $(SEC_CONfig) ;
    /var/run                -> $(SEC_CONfig) ; # daemon PIDs
#   /var/log                -> $(SEC_CONfig) ;
}

再次过于动荡,误报太多.我应该明确地监控它的一些指定部分以及它们.其余的/ var是$(SIG_MED)和$(SEC_INVARIANT),这对于/ var / log来说也是合理的.

解决方法

我认为你的假设是可以的.

在proc中没有什么值得关注的东西,它们每次都会改变.
/ dev也是一个很好的问题.我曾经有过那条线,但是现在用udev我不太确定.

你还有这条线,对吗？

/var -> $(SEC_INVARIANT) (recurse = 0) ;

我对tripwire的真正问题是,需要经常注意使其保持最新状态.
当我有时间它工作得很好,但不再是.

也许值得一看Samhain.它只报告一次,然后了解变化.它有其他很棒的功能(也许我稍后会扩展它).