Überprüfen Sie die Dateisystem-Integrität mit Afick Hack Überwachen Sie die Dateisystem-Integrität mit diesem einfach einzusetzenden Werkzeug.

Transkript

1 #67 Überprüfen Sie die Dateisystem-Integrität mit Afick HACK #67 Überprüfen Sie die Dateisystem-Integrität mit Afick Hack Überwachen Sie die Dateisystem-Integrität mit diesem einfach einzusetzenden Werkzeug. Die Sorgen um die Online-Sicherheit steigen mit jedem Tag an, an dem neue Viren und Würmer veröffentlicht werden. Aus diesem Grund ist es heutzutage noch wichtiger als jemals zuvor, das Dateisystem Ihres Servers auf Anzeichen einer Kompromittierung zu überwachen.»zähmen Sie Tripwire«[Hack #66] führte in den Themenbereich Intrusion Detection System ein und behandelte, wie Sie mit Hilfe von Tripwire, einer Software zur Überprüfung der Dateisystem-Integrität, die Vielzahl der Änderungen überwachen, die innerhalb Ihres Dateisystems auftreten. Bei Tripwire handelt es sich um ein ausgezeichnetes Werkzeug, aber für viele ist die steile Lernkurve ein großes Hindernis für dessen Einführung. Wenn aus irgendeinem Grund Tripwire nichts für Sie sein sollte, stehen noch weitere Integritätsprüfer zur Verfügung. Immerhin handelt es sich hier um Linux! Afick (Another File Integrity Checker) ist ein solches Tool, das eine Vielzahl an Konfigurationsmethoden anbietet, zu denen auch ein perl/tk-gui und ein Webmin-Modul gehören. Dieser Hack hilft Ihnen dabei, Afick bereits einzusetzen, während Ihre Systemadministratorfreunde noch das Tripwire-Handbuch lesen. Installation von Afick Es gibt ein paar Abhängigkeiten beim Einsatz von Afick. Da Afick in Perl geschrieben ist, ist es klar, dass bei Ihnen Perl und dessen Bibliotheken installiert sein müssen. Darüber hinaus laden Sie sich einfach den Quellcode von herunter, entpacken ihn an Ihrem bevorzugten Ablageort für den Build-Prozess und führen dann die Installation wie folgt aus: # perl Makefile.pl Wenn Sie das perl/tk-gui nicht installieren möchten, können Sie alle Warnungen ignorieren, die Sie sehen und die sich auf nicht vorhandene perl/tk- Module beziehen. Sobald Perl mit der Verarbeitung des Makefile fertig ist, führen Sie den folgenden Befehl aus, um die Software jetzt tatsächlich zu installieren: # make install Jetzt, da wir Afick zusammengebaut und installiert haben, sollten wir dazu übergehen, Afick zu konfigurieren und es auf Herz und Nieren zu prüfen. # Kapitel 7: Sicherheit

2 Afick so konfigurieren, dass es zu Ihrem System passt HACK Überprüfen Sie die Dateisystem-Integrität mit Afick #67 Um Afick so zu konfigurieren, dass es den Anforderungen Ihres Dateisystems gerecht wird, muss im ersten Schritt die Afick-Konfigurationsdatei bearbeitet werden. Diese Datei legt fest, auf welche Attribute Ihres Dateisystems Afick beim Scanvorgang achten soll, und folglich erfährt Afick in dieser Datei auch, wann es Sie über bestimmte Änderungen alarmieren soll. Afick bietet zwar eine Standardkonfigurationsdatei, da aber jedes System anders ist, sollten Sie sich nicht auf diese Konfiguration verlassen, um Ihren Server sicher zu halten. Damit Afick zu Ihrem Dateisystem passt, ist die Feinabstimmung letztendlich ein Prozess des Ausprobierens. Um mit diesem Prozess beginnen zu können, sollten Sie zuerst einmal einen Blick auf die Konfigurationsdatei von Afick werden. Diese Datei heißt linux. conf und befindet sich in dem Verzeichnis, in das Sie Afick entpackt haben. Die Konfigurationsdatei enthält mehrere Abschnitte, zwei davon sind für uns besonders interessant. Die Datei ist sehr benutzerfreundlich aufgebaut, wodurch die Abschnitte der Datei sehr einfach unterschieden werden können. Der erste Abschnitt, für den wir uns interessieren, ist der Abschnitt alias. In diesem Abschnitt werden wir die unterschiedlichen Kombinationen der Dateiprüfungen einrichten, die Afick durchführen kann. Wir werden dann später die hier definierten Aliase auf bestimmte Dateitypen und Verzeichnisse anwenden. Hier folgen einige gebräuchliche Aliase: # alias section ######### DIR = p+i+n+u+g ETC = p+d+i+u+g+s+md5 Logs = p+n+u+g MyRule = p+d+i+n+u+g+s+b+md5+m Der erste Teil jeder einzelnen Anweisung entspricht einfach dem Namen des Alias, der festgelegt wird. Sie werden die Aliase später mit Hilfe dieses Namens bestimmten Dateien und Verzeichnissen zuweisen. Der zweite Teil der einzelnen Aliase steht für eine Liste der durchzuführenden Dateisystemprüfungen, die durch Pluszeichen voneinander getrennt sind. Als Referenz dient eine Liste dieser Optionen in Tabelle 7-1. Tabelle 7-1: Afick-Optionen für die Dateisystemüberprüfung Option md5 sha1 d Zugehörige Dateisystemprüfung Überprüft die md5-prüfsumme von Dateiinhalten. Überprüft die sha1-prüfsumme von Dateiinhalten. Überprüft Haupt- und Unternummern von Geräten. Hack #67: Überprüfen Sie die Dateisystem-Integrität mit Afick 347

3 #67 Überprüfen Sie die Dateisystem-Integrität mit Afick Tabelle 7-1: Afick-Optionen für die Dateisystemüberprüfung (Fortsetzung) Option i p n u g s b m c a Zugehörige Dateisystemprüfung Überprüft die Inoden-Nummer. Überprüft die Dateiberechtigungen. Überprüft die Anzahl der Links. Überprüft den Eigentümer (user). Überprüft die Gruppe (group). Überprüft die Dateigröße. Überprüft die Anzahl der Blöcke, die dieser Datei zugewiesen sind. Überprüft die letzte Bearbeitungszeit (mtime). Überprüft die letzte Änderungszeit (ctime). Überprüft die letzte Zugriffszeit (atime). Der zweite Teil der Konfigurationsdatei, an dem wir interessiert sind, ist der Abschnitt file section. In diesem Abschnitt können Sie festlegen, welche einzelnen Afick-Prüfungen oder Kombinationen daraus, die Sie als Aliase festgelegt haben, auf bestimmten Dateien und Verzeichnissen auf Ihrem Dateisystem durchgeführt werden sollen. Hier folgen einige Beispiele, mit denen Sie mit der Optimierung Ihrer Konfiguration beginnen können: /etc/adjtime ETC /etc/aliases.db ETC -md5 /etc/mail/statistics ETC -md5 /etc/dhcpd.conf c+sha1+s+p!/etc/cups/certs/0 Dieser Ausschnitt behandelt einen Großteil der Syntax dieser Konfigurationsdatei. Jede der ersten drei Dateien setzt den vordefinierten ETC-Alias ein, um damit anzugeben, welche Attribute überprüft werden sollen. Bei den letzten beiden Dateien davon wird jedoch die Direktive -md5 eingesetzt, um Afick mitzuteilen, dass der ETC-Alias ohne die Option der md5-prüfung eingesetzt werden soll. Dieser Ansatz ist dann hilfreich, wenn Sie gern einen allgemein gültigen Alias angeben möchten, mit dem Sie durch leichte Änderungen auch mit verschiedenen Dateien arbeiten können. Der vierte Eintrag überprüft nur die letzte Bearbeitungszeit, die sha1-prüfsumme, die Dateigröße und die Zugriffsberechtigungen auf der Datei /etc/dhcpd.conf. Der letzte der oben aufgeführten Einträge verwendet den Operator! (oder Bang für die *nix-er der alten Schule), der Afick mitteilt, dass die angegebene Datei oder das Verzeichnis überhaupt nicht überprüft werden soll. Diese Option sollte nur sparsam eingesetzt werden und nur dort, wo es wirklich nötig ist. 348 Kapitel 7: Sicherheit

4 Ausführen von Afick HACK Überprüfen Sie die Dateisystem-Integrität mit Afick #67 Haben Sie sich erst einmal ein paar Minuten Zeit genommen, um die Konfigurationsdatei auf Ihr Dateisystem anzupassen, sind Sie so weit, dass Sie Afick das erste Mal ausführen können. Afick arbeitet so, dass es einen Snapshot von Ihrem Dateisystem in Form einer Datenbank aufnimmt. Wenn Sie Afick das erste Mal ausführen, wird diese Datenbank initialisiert, abgelegt und als Basis für den Vergleich in späteren Integritätsprüfungen herangezogen. Mit dem folgenden Befehl erstellen Sie diese Datenbank: # afick -c /Pfad_auf_linux.conf/linux.conf -i Die Anweisung -c teilt Afick mit, wo es die einzusetzende Konfigurationsdatei findet, während das -i Afick mitteilt, dass es eine Anfangsdatenbank erstellen soll. Dieser Vorgang kann ein paar Minuten dauern, wenn er aber beendet ist, finden Sie die Datenbank an dem Ablageort, der in der ersten Direktive Ihrer linux.conf-datei angegeben ist. Nachdem die Anfangsdatenbank erstellt ist, warten Sie etwas ab und führen dann Afick erneut aus, diesmal allerdings mit der Option -k: # afick -c /Pfad_auf_linux.conf/linux.conf -k Mit der Anweisung -k wird Afick mitgeteilt, dass es das bestehende Dateisystem mit dem Snapshot in der Datenbank vergleichen und alle Fehlermeldungen ausgeben soll. An dieser Stelle beginnen Sie mit der Ausprobierphase Ihrer Afick-Konfiguration. Wenn Fehler und Änderungen berichtet werden, sehen Sie diese durch und bearbeiten Ihre Konfigurationsdatei entsprechend. So lange Sie nichts ändern und sich Ihr System in einem ruhigen Zustand befindet, werden wahrscheinlich Dinge aufgezeigt werden, die sich auf Ihrem System fortlaufend ändern. In einigen Fällen ist es dann angebracht, weiterhin Attribute wie beispielsweise Eigentümer und Inoden zu überwachen, aber nicht die Werte mtime oder atime. Experimentieren Sie etwas herum und passen Sie Ihre Konfigurationsdatei entsprechend an. Sobald Sie Afick ausführen können, ohne dass eine Flut von Fehlermeldungen zurückgeliefert wird, sind Sie so weit, dass Sie Afick der crontab von root hinzufügen können, damit Afick automatisch nach einem Zeitplan ausgeführt werden kann. Damit Afick der crontab von root hinzugefügt wird, führen Sie als root den folgenden Befehl aus: # crontab -e Mit diesem Befehl wird die crontab von root in Ihrem Lieblingstexteditor geöffnet. Fügen Sie jetzt die folgende Zeile hinzu und ersetzen Sie dabei den richtigen Pfad: 0*/8 * * * root /Pfad/auf/afick -c /Pfad/auf/linux.conf -k 0*/8 * * * root /Pfad_auf_afick.cron/afick.cron Hack #67: Überprüfen Sie die Dateisystem-Integrität mit Afick 349

5 #67 Überprüfen Sie die Dateisystem-Integrität mit Afick Hierdurch wird Afick so eingeplant, dass es alle acht Stunden ausgeführt wird und alle auftretenden Änderungen per an root schickt. Absichern von Afick Sobald Sie an diesem Punkt Ihrer Konfiguration angekommen sind, sollten Sie darüber nachdenken, Ihre Datenbank auf ein nur lesbares Speichermedium zu verschieben. Meiner Erfahrung nach stellt eine alte Zip-Diskette eine ausgezeichnete Wahl dar (Sie könnten aber auch genauso gut eine CD-R oder DVD nehmen). Um Ihre Datenbank auf eine Zip-Diskette verschieben zu können, müssen Sie zuerst das Zip-Laufwerk mounten und dann den folgenden Befehl ausführen: # mv /var/lib/afick/afick.pag /mnt/zip/afick.pag Anschließend müssen Sie mit dem Eintrag database := /Pfad/auf/Datenbank dafür sorgen, dass Ihre Konfigurationsdatei auf Ihre soeben verschobene Datenbank zeigt. Sie können dann auch Ihre Konfigurationsdatei auf die Zip- Diskette verschieben und dann den Schieber auf der Rückseite Ihrer Zip-Diskette umlegen, um die Diskette als nur lesend zu markieren. Hierdurch schützen Sie Ihre Datenbank und Ihre Konfigurationsdatei davor, von jemandem verändert zu werden, der keinen physikalischen Zugriff auf den Server besitzt. Aktualisierung Ihrer Datenbank Wenn Sie Änderungen an Ihrem Dateisystem vornehmen, müssen Sie auch Ihre Datenbank aktualisieren. Das erreichen Sie durch die Eingabe des folgenden Befehls: # afick -c /Pfad_auf_linux.conf/linux.conf -u Ist der Befehl fertig ausgeführt, ist Ihre Datenbank auf dem aktuellen Stand. Sie sollten jedes Mal eine Aktualisierung durchführen, wenn Sie eine Anwendung aktualisieren, neue Software- oder Kernel-Patches einspielen oder irgendeine andere Aktivität durchführen, die Ihr Dateisystem verändert. Zusammenfassung Sie können jetzt vielleicht selbst beurteilen, ob Afick eine weniger komplizierte Variante von Tripwire ist. Die beiden Anwendungen haben viele Gemeinsamkeiten, aber ich finde, dass Afick das nützlichere und benutzerfreundlichere Tool von beiden ist. Bei meiner Arbeit mit Afick habe ich noch ein paar weitere Einsatzmöglichkeiten dafür herausgefunden, die über die Wahrung der Systemintegrität hinausgehen. Zu diesen Einsatzmöglichkeiten gehören beispielsweise die Kontrolle darüber, dass sich Anwendungen selbst 350 Kapitel 7: Sicherheit

6 Überprüfen Sie die Dateisystem-Integrität mit Afick #67 sauber deinstallieren sowie die Nachverfolgung der genauen Änderungen, die durch das Ausführen von Anwendungen vorgenommen werden. Es können noch viele andere Einsatzmöglichkeiten für diesen und auch für andere Integritätsprüfer gefunden werden, und Sie müssen nur ein bisschen herumexperimentieren, um die eine oder andere herauszufinden, die für Sie interessant sein könnte. Siehe auch»zähmen Sie Tripwire«[Hack #66] Brian Warshawsky Hack #67: Überprüfen Sie die Dateisystem-Integrität mit Afick 351