Cada vez más, debemos tener un fuerte control sobre la integridad de nuestros datos, en especial, cuando el servidor tiene acceso a Internet. Para cubrir esta necesidad, en el mundo del software libre hay dos herramientas que se disputan el podio, una es Aide y otra es Tripwire.

Como mi amigo Alejandro García, autor del Blog RM-rf.es, ha escrito un fabuloso artículo sobre Aide. Me voy a centrar en el uso y "disfrute" de Tripwire.

Qué hace realmente Tripwire

Para empezar, daremos unas leves pinceladas al funcionamiento de este programa. Tripwire genera una base de datos encriptada con las propiedades de cada elemento de nuestro sistema de ficheros. Esta base de datos es empleada para comprobar los cambios acaecidos en el sistema de ficheros.  Si estas modificaciones han sido realizadas y/o autorizadas por nosotros, la base de datos será actualiza, en caso contrario, habrá que investigar qué ha sucedido.

Teniendo en cuenta lo anterior, lo ideal sería instalarlo en un servidor recién instalado ya que no ha sido comprometido por agentes externos o al menos, tiene muy pocas posibilidades de que sea así. Si el servidor lleva ya cierto tiempo prestando servicios, antes de implementarlo, sería recomendable analizarlo a través de diferentes herramientas. 

Instalación de Tripwire

El proceso de instalación de Tripwire, se divide en las siguientes fases:

1. Instalación del software.
2. Creación de la clave del site y la local.
3. Creación e implementación del fichero de configuración y de la política.
4. Aplicación de permisos adecuados a los ficheros de configuración y de la política.

Casi todas las distribuciones de GNU/Linux disponen de una versión empaquetada, así que suele ser muy fácil instalar este software. En el caso de GNU/Debian, el primer paso es el siguiente:

 # apt-get install tripwire 

El resto de pasos son facilitados gracias a los asistentes que despliega.

No os preocupéis, si vuestra distribución no cuenta con estos asistentes o no os apetece usarlos, a continuación explicamos cómo se pueden realizar estas tareas manualmente a través de la herramienta de administración twadmin.

Generación de claves

Las claves son importantísimas y serán solicitadas en todos los procesos que impliquen la modificación de la configuración, de la política y de la base de datos. Os recomendamos que sean diferentes entre sí.

Tenemos que generar dos, una para el site y otra para local que podrán ser almacenadas donde se quiera, por ejemplo, en mi caso será /etc/tripwire. Por convención, a la primera se la llama site.key y a la segunda HOST-local.key, siendo HOST sustituida por el nombre del servidor.

 # twadmin -m G -L /etc/tripwire/dummy-local.key -S /etc/tripwire/site.key 

Generación de la configuración y la política

Nos va a sorprender la forma que Tripwire tiene para generar la configuración y la política. Para empezar debemos tener siempre presente que se trata de un analizador de la integridad de los datos del sistema y por ese motivo, empieza por su propia configuración y política.

Al margen de la distribución o sistema de paquetes, existen dos ficheros twcfg.txt y twpol.txt que poseen la configuración y la política por defecto respectivamente. Son ficheros de texto plano y por tanto, editables sin esfuerzo alguno. Nosotros los vamos a utilizar de plantilla y a través de twadmin, generaremos unas versiones binarias cifradas y firmadas que Tripwire utilizará para su funcionamiento.

Os recomendamos revisar los ficheros twcfg.txt y twpol.txt para comprobar si cumplen con nuestras necesidades.

El primer fichero que debemos crear es el fichero de configuración y posteriormente, el de política. Creo que también por convención, el fichero de configuración se llama tw.cfg y el de políticas tw.pol, no obstante, si alguien desea otros nombres, deberá modificar las plantillas previamente indicadas. 

 # twadmin -m F -S /etc/tripwire/site.key -c /etc/tripwire/tw.cfg -Q "ClaveSite" twcfg.txt 

A continuación, haremos lo mismo con el fichero de la política tw.pol:

 # twadmin -m P -S /etc/tripwire/site.key -c /etc/tripwire/tw.cfg -Q "ClaveSite" twpol.txt 

Creación de la base de datos

El tiempo de creación de la base de datos será determinado por el número de elementos de nuestro sistema de ficheros. Debemos tener paciencia si asumimos un sistema complejo como, por ejemplo, un servidor de base de datos.

Para la creación de la base de datos inicial, debemos ejecutar:

 # tripwire -m i 

En medio del proceso, nos pedirá la clave local para poder escribir en la base de datos de Tripwire.

Comprobación de la integridad de datos

Para testar que Tripware está comprobando la integridad de datos, vamos a hacer una prueba muy simple que consiste en modificar una línea dentro del fichero /etc/hosts. En concreto añadiremos la línea siguiente:

 # Esto es una prueba para Tripware. 

Ahora vamos a verificar si detecta el cambio en la integridad de los datos.

 # tripwire -m c 

El informe aparecerá por pantalla y también se guardará una copia en nuestro sistema de ficheros. El informe tiene un nombre normalizado que consiste en [NombreDeHost]-[Año][Mes][Día]-[Hora][Minuto][Segundo].twr lo que facilita la creación de scripts. Por cierto, estos ficheros son binarios y requieren de la herramienta twprint para mostrarse en pantalla, tal como hacemos a continuación:

 # twprint -m r -r /var/lib/tripwire/report/dummy-20120913-122534.twr 

Como suelen ser informes muy largos, suele ser conveniente utilizar alguna herramienta como more o pg. Existe la posibilidad de generar un informe parcial pero hasta que no estemos muy habituados a la información que se puede obtener, es mejor, obviadlo por el momento.

Volviendo a la prueba que estamos realizando, vamos a analizar el informe donde hay dos secciones que un administrador de sistemas o analista de seguridad ha de fijarse.

La primera hace mención a la sección del sistema de ficheros y este es un ejemplo:

Nos debemos fijar las rules names que les antecede un asterisco ya que esta es la forma que tiene Tripware de informarnos que ha habidos cambios. Ahora bien, la rule name "Devices & Kernel information" no le prestaría mayor atención porque se trata de los directorios que monta el Kernel y que como todos sabemos, están en constante cambio. Sin embargo, las otras dos rules names marcadas por un asterisco sí vamos a estudiarlas con detalle.

Como no, aparece nuestro fichero /etc/hosts que hemos modificado adrede y por sorpresa, muestra el /root/.viminfo. Entonces, vamos a explicar lo que debemos hacer casi de una forma matemática.

Todo fichero modificado es sospechoso siempre que:

1. No lo hayamos modificado nosotros.
2. No hayamos autorizado su modificación.
3. No han sido generados los cambios por el uso de algún software de forma automática.

Para todo los demás casos, hay que tomar medidas y dependiendo del nivel de seguridad (Security Level) más o menos severas o drásticas.

El caso de la modificación de /etc/hosts pertenece al primer caso, lo hicimos nosotros. El caso de /root/.viminfo se debe al tercer caso. No obstante, un buen analista de seguridad (con mode paranoic ON) echaría un vistazo.

Cuando tenemos claro que las modificaciones han sido realizadas o autorizadas por nosotros o se trata del comportamiento normal del software instalado, debemos consolidar estos cambios en la base de datos de Tripwire. Para ello hay dos métodos a seguir, el primero consiste en volver a analizar la integridad de nuestros datos, revisar el informe posterior y si damos nuestra aprobación, insertarlos en la base de datos y el segundo, que consiste en usar un informe ya generado y que hemos aprobado.

Para el caso de querer verificar la integridad de nuestros datos, revisar el informe y posteriormente modificar la base de datos, debemos ejecutar:

 # tripwire -m c -I 

Para aprovechar un informe ya validado por nosotros, tenemos que teclear:

 # tripwire -m u -r fichero.twr 

En ambos casos, como se ha de modificar la base de datos, nos solicitará la clave local.

Tarea diaria

Debido a la importancia de comprobar la integridad de nuestros sistemas, recomendamos encarecidamente que se programe una tarea diaria donde se genere el informe con los cambios que haya podido sufrir el sistema.

Para ello, deberemos editar añadir una tarea en el sistema cron de nuestro servidor, por ejemplo:

 0 3 * * * /usr/sbin/tripwire -m c 

También existe la posibilidad de añadir un script a /etc/cron.daily donde se ejecute esta operación como por ejemplo:

 
#!/bin/sh 
/usr/sbin/tripwire -m c 

Personalmente prefiero la primera opción ya que podemos configurar el momento que se realiza y así evitamos que se solape a tareas como las copias de seguridad, parcheos u otras modificaciones generales del sistema. Es preferible realizar el análisis en un momento que sepamos que el servidor se encuentra bastante "tranquilo", no es porque cargue la máquina, que realmente no es así, sino para evitar que obtenga unos datos muy parciales.

Aseguramiento de Tripwire

Por último, hay una serie de pautas que debemos seguir para asegurar nuestro sistema Tripwire.

1. Hay que eliminar todo fichero de texto con versiones de la configuración o política. Como vulgarmente se dice, hay que evitar dar pistas al enemigo.
2. Debemos aplicar a los binarios /usr/sbin/tripwire, /usr/sbin/twadmin, /usr/sbin/twprint y /usr/sbin/siggen los permisos de sistema 0500 (-r-x------).
3. De la misma forma, a los directorios de configuración /etc/tripwire y de informes /var/lib/tripwire y a sus contenidos deben tener los permisos de sistema 0700 (-rwx------).
4. Por último, se ha de aplicar permisos de sistema 0600 (-rw-------) a etc/tripwire/tw.cfg y a /etc/tripwire/tw.pol.

Para facilitar, estas son las instrucciones a ejecutar:

 
# chmod 0600 etc/tripwire/tw.cfg /etc/tripwire/tw.pol 
# chmod 0500 /usr/sbin/tripwire /usr/sbin/twadmin /usr/sbin/twprint /usr/sbin/siggen 
# chmod 0700 /etc/tripwire /var/lib/tripwire 
# chmod -R u=rwX,go-rwx /var/lib/tripwire 

Donde X será el permiso de ejecución en caso de fichero y de acceso en caso de directorio.

Para más información

Tripware viene con algunas páginas man que proveen una información sucinta y clara, sin ejemplos…

TRIPWIRE(8) - Manual del programa

TWINTRO(8) - Una introducción al Tripwire

TWADMIN(8) – Manual de la herramienta de administración

TWPRINT(8) – Manual de la herramienta de visionado de informes

TWCONFIG(8) - Información sobre el fichero de configuración

TWPOLICY(8) - Información sobre el fichero de política

Despedida

Os puedo asegurar y ya desde un plano profesional que esta herramienta me ha ayudado muchisimo en mis tareas de administrador y se encuentra en una de las primeras herramientas que instaldo cuando implemento un nuevo servidor.

Espero que os sea tan útil como a mí me lo ha sido.