{"id":3120,"date":"2023-09-11T11:12:01","date_gmt":"2023-09-11T09:12:01","guid":{"rendered":"https:\/\/linux-bibel.at\/?p=3120"},"modified":"2023-09-11T11:12:03","modified_gmt":"2023-09-11T09:12:03","slug":"tripwire-einbruchserkennung-unter-linux","status":"publish","type":"post","link":"https:\/\/linux-bibel.at\/index.php\/2023\/09\/11\/tripwire-einbruchserkennung-unter-linux\/","title":{"rendered":"Tripwire – Einbruchserkennung unter Linux"},"content":{"rendered":"\n

Die meisten Linux<\/a>-User kennen die Geschichte – am Linux<\/a>-Desktop<\/a> sind Virenscanner und Root<\/a>ki<\/a>t-Jäger so gut wie unnötig. Am Server<\/a>, der sieben Tage die Woche im Internet hängt, ist dies natürlich eine andere Geschichte. Solche Linux<\/a>-Systeme sind auch für Kriminelle lohnende Ziele.

Da man nicht den ganzen Tag den Server<\/a> kontrollieren kann, hilft eine Einbruchserkennung um Einbrüche erkennen zu können. Hacker, die in das System einbrechen, tun dies nicht deshalb, weil es so lustig ist, sondern um mit dem System etwas anzufangen. Sie verändern Datei<\/a>en und tauschen Datei<\/a>en aus, um ihren Einbruch zu verschleiern, legen Backdoors an, um auch bei Aktualisierungen der ausgenutzten Sicherheitslücke wiederkommen zu können.

Um solche Einbrüche zu erkennen, nutzt man nun mehrheitlich Software, die veränderte Datei<\/a>en erkennt. Dies funktioniert recht einfach – die Software zur Einbruchserkennung speichert von den zu überwachenden Datei<\/a>en den Hash-Wert in einer eigens abgesicherten Datenbank<\/a> und vergleicht diese Werte in regelmäßigen Abständen. Passt ein Wert nicht mit dem aktuellen zusammen, meldet die Software dies. Tripwire ist nun eine der bekanntesten Anwendungen dieser Sparte unter Linux<\/a>.<\/p>\n\n\n\n

Tripwire installieren<\/h2>\n\n\n\n

Unter auf Debian<\/a> basierenden Linux<\/a>-Distribution<\/a>en installiert man diese Software wie üblich ganz einfach über die Paket-Verwaltung<\/a> durch das Paket<\/a> „tripwire<\/strong>„. Möchten Sie auch gewarnt werden, um nicht täglich die Log-Datei<\/a>en der Software durchforsten zu müssen, installieren Sie einen MTA wie etwa Postfix<\/a>.

Die Installation von Tripwire gelingt am einfachsten am Terminal<\/a> mit dem Befehl<\/a>:<\/p>\n\n\n\n

apt install tripwire<\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Zu Beginn fragt die Software nach dem Site-Passwort, dieses dient dazu,  die Software abzusichern – daher sollten Sie hier ein absolut sicheres  Passwort vergeben – dieses sollte sich natürlich auch vom root<\/a>-Account  unterscheiden. Bestätigen Sie mit Eingabe<\/strong>.<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Weiter geht es mit einer Schlüsseldatei<\/a> – diese wäre natürlich noch sicherer als ein Passwort, ist aber umständlicher, da Sie die Datei<\/a> nicht auf dem Server<\/a> liegen lassen können.<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Jetzt bestätigen wir das Anlegen der neuen Konfiguration<\/a>. Anschließend bestätigen Sie noch zweimal die Konfiguration<\/a> mit Eingabe<\/strong> und vergeben das Passwort zur Absicherung der Software:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Nach der Bestätigung des Passwortes erhalten Sie noch eine kurze Information, damit wäre die grundlegende Einrichtung abgeschlossen. Jetzt geht es um die erweiterte Konfiguration<\/a> – was soll die Software eigentlich überwachen? Die dazu nötige Datei<\/a> finden wir unter „\/etc\/tripwire\/twpol.txt“ – diese öffnen wir mit dem gewünschten Terminal<\/a>-Editor<\/a> (natürlich als root<\/a>) – etwa:<\/p>\n\n\n\n
nano \/etc\/tripwire\/twpol.txt\nvim \/etc\/tripwire\/twpol.txt<\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Wir scrollen jetzt an das Ende der Datei<\/a> – an der bisher bestehenden Konfiguration<\/a> sollten wir nichts ändern, hier überwacht die Software schon ihre eigenen Datei<\/a>en – also ihre Konfiguration<\/a>. Als Erstes müssen wir uns natürlich im Klaren sein, was wollen wir überwachen und was nicht? Datei<\/a>en in Verzeichnis<\/a>sen zu überwachen, die sich jede Sekunde verändern, ist nicht sinnvoll – dies würde bei jedem Scan der Software zu tausenden Fehlwarnungen führen. Zu den nicht zu überwachenden Verzeichnis<\/a>sen gehören also:<\/p>\n\n\n\n