我在debian服务器上安装了tripwire,默认策略有一些奇怪的设置.
# # Critical devices # ( rulename = "Devices & Kernel information",severity = $(SIG_HI),) { /dev -> $(Device) ; # /proc -> $(Device) ; }
/ proc是非常不稳定的,所以我已经评论过了,但我想我应该在这里明确地说明一些内容.我有一些想法,但我会就此问题提出建议.
其他的是/ var / log:
# # These files change every time the system boots # ( rulename = "System boot changes",severity = $(SIG_HI) ) { /var/lock -> $(SEC_CONFIG) ; /var/run -> $(SEC_CONFIG) ; # daemon PIDs # /var/log -> $(SEC_CONFIG) ; }
再次过于动荡,误报太多.我应该明确地监控它的一些指定部分以及它们.其余的/ var是$(SIG_MED)和$(SEC_INVARIANT),这对于/ var / log来说也是合理的.
解决方法
我认为你的假设是可以的.
在proc中没有什么值得关注的东西,它们每次都会改变.
/ dev也是一个很好的问题.我曾经有过那条线,但是现在用udev我不太确定.
你还有这条线,对吗?
/var -> $(SEC_INVARIANT) (recurse = 0) ;
我对tripwire的真正问题是,需要经常注意使其保持最新状态.
当我有时间它工作得很好,但不再是.
也许值得一看Samhain.它只报告一次,然后了解变化.它有其他很棒的功能(也许我稍后会扩展它).