Tripwireでファイルの改ざんを検出せよ〜Tripwireのインストールと初期設定 〜：止められないUNIXサーバのセキュリティ対策（11）（2/2 ページ）

Tripwireのインストール

Tripwireの入手

　Tripwireのオープンソース版は、下記URLより入手可能となっている。ソースコード版またはRPM版のいずれかをダウンロードする。

　FreeBSDの場合は、portsのsecurity/tripwireが提供されている。NetBSD の場合は、pkgsrcのsecurity/tripwireが存在するが、バージョンが1.2となる。

Tripwireのインストール

　Tripwireのインストールは、ソースからコンパイルして行う方法と、FreeBSD portsやRPMなどのパッケージを利用する方法がある。ソースからコンパイルする場合は、環境に応じてファイルを編集するなど多少手間がかかるので*、特に理由がなければ、FreeBSD portsやRPMといったパッケージシステムを使うことをお勧めする。

% gunzip -cd tripwire-2.3.1-2.tar.gz | tar xvf -
% cd tripwire-2.3.1-2
% vi src/Makefile

SYSPRE = i386-unknown-freebsd

% make release

# cp bin/i686-pc-linux_r/siggen /usr/sbin
# cp bin/i686-pc-linux_r/tripwire /usr/sbin
# cp bin/i686-pc-linux_r/twadmin /usr/sbin
# cp bin/i686-pc-linux_rtwprint /usr/sbin
# cp man/man4/*.4 /usr/man/man4/
# cp man/man5/*.5 /usr/man/man5/
# cp man/man8/*.8 /usr/man/man8/
# mkdir /etc/tripwire
# cp policy/twpol.txt /etc/tripwire
# mkdir -p /var/lib/tripwire/report
# chmod 750 /var/lib/tripwire/report

Tripwireの初期設定

Tripwireの初期設定

　最初にTripwireを使える状態にセッティングする。次の4つの手順を行う必要がある。

1. 暗号化・署名鍵の生成
2. 設定ファイルの生成
3. ポリシーファイルの生成
4. データベースの新規作成

　パッケージシステムの種類によっては、上記の手順が不要になる場合がある。例えば、FreeBSD portsの場合は、make installした際に、いくつかの質問に答えるだけで1〜4のすべてを実行してくれる。また、RPMの場合は、/etc/tripwire/twinstall.shを実行していくつかの質問に答えると、1〜3を実行してくれる。

1. 暗号・署名鍵の生成

　設定ファイルなどの暗号化・署名を行うための暗号鍵（サイトキー、ローカルキー）を生成する。

　サイトキー、ローカルキーの生成は、Tripwireの管理コマンドのtwadminに-m G （or --generate-keys）オプションを指定する。-S（or --site-keyfile）でサイトキー、-L（or --local-keyfile）でローカルキーをそれぞれ生成する。

・サイトキーの生成

# twadmin -m G -S site.key
(When selecting a passphrase, keep in mind that good passphrases typically have upper and lower case letters, digits and punctuation marks, and are at least 8 characters in length.)
Enter the site keyfile passphrase：サイトキーのパスフレーズを入力（8文字以上）
Verify the site keyfile passphrase：同じものをもう一度
Generating key (this may take several minutes)...Key generation complete.

　/etc/tripwire/site.keyファイルが生成される。サイトキーのパスフレーズは、8 文字以上の推測しにくい、かつ rootパスワード以外のものを指定すること。

・ローカルキーの生成

# twadmin -m G -L atmarkit.example.co.jp-local.key
(When selecting a passphrase, keep in mind that good passphrases typically have upper and lower case letters, digits and punctuation marks, and are at least 8 characters in length.)
Enter the local keyfile passphrase：サイトキーのパスフレーズを入力（8文字以上）
Verify the local keyfile passphrase：同じものをもう一度
Generating key (this may take several minutes)...

　/etc/tripwire/atmarkit.example.co.jp-local.keyファイルが生成される。なお、ローカルキーのファイル名は、Tripwireの慣例に従い「ホスト名-local.key」とした。ローカルキーのパスフレーズは、8文字以上の推測しにくい、かつrootパスワード以外、かつサイトキー以外のものを指定すること。

2. 設定ファイルの生成

　設定ファイルを必要に応じて編集し、先に生成したサイトキーを用いて、設定ファイルの暗号化と署名を行う。設定ファイルは、「キー=値」で指定する。以下はRPM版で提供の設定ファイル（/etc/tripwire/twcfg.txt）だ。

ROOT =/usr/sbin
POLFILE =/etc/tripwire/tw.pol
DBFILE =/var/lib/tripwire/$(HOSTNAME).twd
REPORTFILE =/var/lib/tripwire/report/$(HOSTNAME)-$(DATE).twr
SITEKEYFILE =/etc/tripwire/site.key
LOCALKEYFILE =/etc/tripwire/atmarkit.example.co.jp-local.key
EDITOR =/bin/vi
LATEPROMPTING =false
LOOSEDIRECTORYCHECKING =false
MAILNOVIOLATIONS =true
EMAILREPORTLEVEL =3
REPORTLEVEL =3
MAILMETHOD =SENDMAIL
SYSLOGREPORTING =false
MAILPROGRAM =/usr/lib/sendmail -oi -t

　各キーの意味は以下の通りとなる。詳細は、man 4 twconfigで確認して欲しい。なお、twcfg.txtファイルがない場合は、twcfg.txtファイルを新規作成する必要がある。

　上記のクリアテキスト形式の設定ファイルを、サイトキーを使って暗号化と署名をする。

　twadminコマンドに-m F（or --create-cfgfile）オプションを指定する。-c（or --cfgfile）には生成する設定ファイル、-S（or --site-keyfile）にはサイトキーをそれぞれ指定している。

# twadmin -m F -c tw.cfg -S site.key twcfg.txt
Please enter your site passphrase：サイトキーのパスフレーズを入力
Wrote configuration file: /etc/tripwire/tw.cfg

　生成が完了したら、設定ファイルの内容を確認しておく。twadminコマンドに-m f（or --print-cfgfile）と-c（or --cfgfile）オプションを指定すればよい。

# twadmin -m f -c tw.cfg

3. ポリシーファイルの生成

　ポリシーファイルには、Tripwireが監査を行ううえで必要となる条件や、整合性チェックの対象となるファイルのパスを指定する。取りあえずは、初期値のままポリシーファイルを生成してみる。

　ポリシーファイルは、パッケージシステムによってはtwpol.txtというクリアテキストのファイルが提供される。ソースコードの場合は、展開先のpolicy/twpol.txtファイルを基にするとよいだろう。

　クリアテキストファイル（twpol.txt）を準備したら、設定ファイルと同様、ポリシーファイルも暗号化・署名を行う。暗号化・署名には、先に生成したサイトキーを用いる。RPM版（Red Hat Linux）の例を以下に示す。

　twadminコマンドに-m P（or --create-polfile）オプションを指定する。-c（or --cfgfile）には設定ファイル、-p（or --polfile）には生成するポリシーファイル、-S（or --site-keyfile）にはサイトキーファイルをそれぞれ指定している。

# twadmin -m P -c tw.cfg -p tw.pol -S site.key twpol.txt
Please enter your site passphrase：サイトキーのパスフレーズを入力
Wrote policy file: /etc/tripwire/tw.pol
twadminコマンドに-m Pオプションを指定

　生成が完了したら、ポリシーファイルの内容を確認しておく。twadminコマンドに-m p（or --print-polfile）、-c（or --cfgfile）、-p（or --polfile）、-S（or --site-keyfile）オプションを指定すればよい。

# twadmin -m p -c tw.cfg -p tw.pol -S site.key

4. データベースの新規作成

　先に作成したポリシーファイルを基に、整合性チェック用のデータベースを作成（初期化）する。データベースの作成は、tripwireコマンドに-m i（or --init）オプションを指定する。

# tripwire -m i
Please enter your local passphrase：ローカルキーのパスフレーズを指定
Parsing policy file: /etc/tripwire/tw.pol
Generating the database...
*** Processing Unix File System ***
### Warning: File system error.
### Filename: /proc/rtc
### No such file or directory
### Continuing...
### Warning: File system error.
### Filename: /proc/scsi
### No such file or directory
### Continuing...
（省略）
### Continuing...
Wrote database file: /var/lib/tripwire/atmarkit.example.co.jp.twd
The database was successfully generated.

　実行すると、ポリシーで指定されたファイルが存在しない（No such file or directory）といった警告が出力される。存在しないファイルについては、ポリシーファイルから削り、更新する必要がある（更新方法については、次回説明する）。

　正常に完了すると、「ホスト名.twd」というデータベースファイルが生成される（上記では/var/lib/tripwire/atmarkit.example.co.jp.twdとして生成）。

　以上、Tripwireを実行するための最低限の準備は整った。これを基に、次回はTripwireのカスタマイズや運用上の注意点について説明する。