Делаем систему пуленепробиваемой!

Shaman (aka_shaman@mail.ru)

Xakep, номер #058, стр. 058-078-4

TWMAILMETHOD=SMTP

TWSMTPHOST="mail.domain.com"

TWSMTPPORT=25

После этого будут выведены значения опций, которые надо подтвердить. Затем tripwire скопирует файлы и начнет создавать ключи, для чего нужно ввести парольную фразу. Парольная фраза отличается от пароля широтой выбора. Она может быть любой длины и содержать пробелы. Сначала нужно ввести парольную фразу для ключевого файла, а затем - для локального ключевого файла. После генерации ключа будет создан файл конфигурации, и tripwire запросит парольную фразу для сайта.

После окончания установки конфигурационные файлы будут находиться в /etc/tripwire.

Теперь надо настроить файл политики /etc/tripwire/twpol.txt. Однако tripwire использует не этот файл. Настоящий файл политики зашифрован и называется tw.pol. После некоторых исправлений в файле twpol.txt надо сгенерить tw.pol:

twadmin --create-polfile /etc/tripwire/twpol.txt

После этого надо ввести парольную фразу и будет сгенерирован зашифрованный файл политики.

Теперь надо сгенерировать базу данных tripwire:

tripwire --init

По запросу надо ввести локальную парольную фразу, и начнется генерация базы. Вот тут-то и проявятся ошибки в файле политики:

..................

### Warning: File system error.

### Filename: /bin/somefile

### No such file or directory

### Continuing

Записав все ошибки, надо исправить файл twpol.txt и опять попробовать сгенерировать базу. После всего этого гимора, база должна сгенериться без ошибок. После первого запуска tripwire сохранит снимок всей системы, который будет использоваться как эталон при последующих проверках. Проверка выполняется с помощью следующей команды:

tripwire --check

Результатом проверки будет подробный отчет о файловой системе - количество добавленных, удаленных, модифицированных файлов и оценка их критичности. После подгонки файла политики, файлы twpol.txt и twcfg.txt необходимо удалить. Однако я все же рекомендую удалить текстовые файлы с сервера и хранить их на внешнем носителе – мало ли, вдруг тебе понадобится их модифицировать.

Сетевая безопасность

Iptables - пакетный фильтр, брандмауэр, созданный на основе ядра Linux. Обычно брандмауэр ставят на маршрутизаторе, который перенаправляет пакеты согласно правилам фильтрации. Однако им можно защитить и обычную рабочую станцию. Основными данными при фильтрации являются ip-адреса отправителя и получателя, порты отправителя и получателя, протокол. На основе этих данных можно составить цепочки правил брандмауэра. Скачиваем: www.netfilter.org/.

Для установки iptables необходимы исходники ядра. Устанавливаем:

make KERNEL_DIR=/usr/src/linux &&

make install KERNEL_DIR=/usr/src/linux &&

install-log iptables

После этого надо перекомпилить ядро с поддержкой iptables. В секции Networking options включи опцию Network packet filtering (replaces ipchains). После этого в этой же секции появится пункт IP: Netfilter Configuration. Заходи в него и включи опцию IP tables support. Остальное - по вкусу и желанию. Затем компиль ядро, добавляй в LILO и перегружайся. Далее надо создать скрипт, содержащий цепочки. Создай файл /etc/rc.d/rc.firewall и пиши в него: