使用 Tripwire 监控文件

简介

在本次实验中，你将学习如何使用 Tripwire 来监控文件完整性并检测系统的未经授权更改。你将通过实际的命令行练习，实践在 Debian 系统上安装 Tripwire、配置其数据库以及设置文件监控。

本次实验涵盖了关键操作，包括生成加密密钥、建立基线快照以及分析完整性报告。通过这些实践任务，你将掌握通过有效的文件监控来维护系统安全的重要技能。

Skills Graph

安装 Tripwire

在这一步中，你将安装 Tripwire，这是一款强大的开源文件完整性监控工具。Tripwire 通过为每个文件创建数字“指纹”，帮助系统管理员检测重要系统文件的未经授权更改。这个指纹包含文件大小、权限和校验和等属性。

当 Tripwire 后续运行时，它会将当前文件状态与这些存储的指纹进行比较。如果检测到任何更改（即使是由授权用户进行的），Tripwire 都会生成警报。这对于安全监控和检测潜在的系统入侵特别有用。

由于我们使用的是基于 Debian 的 LabEx 虚拟机，我们将使用 apt 包管理器进行安装。该过程包括以下明确的步骤：

首先，我们需要更新本地包索引。这确保我们将安装最新可用版本的 Tripwire：
```
sudo apt update
```
现在使用以下命令安装 Tripwire。-y 标志会自动确认安装：
```
sudo apt install -y tripwire
```
在安装过程中，你会看到配置提示。对两个问题都选择“是”：
- 第一个问题询问你是否现在配置 Tripwire。
- 第二个问题涉及生成加密密钥（用于保护 Tripwire 的数据库）。
安装完成后，让我们通过检查已安装的版本来验证一切是否正常工作：
```
tripwire --version
```

你应该会看到显示版本号的输出，如下例所示：

Tripwire(R) 2.4.3.7

这个版本确认意味着 Tripwire 已正确安装。在接下来的步骤中，我们将对其进行配置，以开始监控你的系统文件。安装过程已经自动设置了必要的组件，包括我们稍后将使用的策略文件和加密密钥。

初始化数据库

在这一步中，你将初始化 Tripwire 的数据库，该数据库将作为文件完整性监控的基线。数据库会存储你想要监控的文件的加密校验和及属性。你可以将其想象成给文件的当前状态拍了一张快照，之后 Tripwire 会将文件的当前状态与这张快照进行对比，以检测是否有任何更改。

在开始之前，了解数据库初始化需要我们之前创建的策略文件这一点很重要。这个策略文件会告诉 Tripwire 要监控哪些文件和目录，以及要检查哪些属性。

按照以下步骤初始化数据库：

首先，我们需要从编辑好的文本版本生成实际的策略文件。运行以下命令：
```
sudo twadmin --create-polfile /etc/tripwire/twpol.txt
```
系统会提示你输入安装过程中设置的本地密码。这一步会将人类可读的策略转换为 Tripwire 可以使用的格式。
现在，我们将使用以下命令创建初始的数据库快照：
```
sudo tripwire --init
```
由于 Tripwire 会扫描策略中指定的所有文件，这可能需要一些时间。它会为我们要监控的所有内容计算校验和并记录文件属性。
在初始化过程中，你可能会看到类似以下的警告信息：
```
######## Warning: File system error.
#### Filename: /proc/XXXX/XXXX
#### No such file or directory
#### Continuing...
```
这些关于 /proc 文件的警告是正常的，可以忽略。/proc 目录包含动态的系统信息，这些信息会频繁变化，因此 Tripwire 默认会跳过这些文件。
让我们通过检查数据库的位置来验证它是否已成功创建：
```
sudo ls -l /var/lib/tripwire/$(hostname).twd
```
你应该会看到列出的数据库文件及其大小和时间戳。这确认了 Tripwire 已成功创建用于对比的基线。

现在，数据库已准备好在后续步骤中监控文件。请记住，这个初始数据库代表了你文件的“已知良好”状态，因此在系统处于干净、安全的状态时创建它至关重要。

添加要监控的文件

在这一步中，你将通过编辑策略文件来自定义 Tripwire 要监控的文件。Tripwire 的工作原理是将当前文件与已知良好的数据库快照进行比较，因此我们需要明确告知它要跟踪哪些文件。默认情况下，Tripwire 会监控许多关键的系统文件，但在本次实验中，我们将重点添加对项目目录中文件的监控，因为这些是你最常处理的文件。

按照以下步骤添加对特定文件的监控：

首先，备份原始的策略文件。这是一项安全措施，以防你在编辑时出错：
```
sudo cp /etc/tripwire/twpol.txt /etc/tripwire/twpol.txt.bak
```
使用简单的文本编辑器 nano 打开策略文件进行编辑。我们使用 sudo 是因为这是一个系统配置文件：
```
sudo nano /etc/tripwire/twpol.txt
```
向下滚动找到以 ( rulename = "User Binaries", 开头的部分（大约在第 200 行）。我们将在这里添加新规则。以下代码块定义了一个名为“Lab Project Files”的新规则，该规则将监控 /home/labex/project 目录中的所有内容：
```
(
  rulename = "Lab Project Files",
  severity = $(SIG_HI)
  {
    /home/labex/project - > $(SEC_BIN)
  }
)
```
按 Ctrl+O（写入文件）保存文件，然后按 Enter 确认，最后按 Ctrl+X 退出 nano。
现在，我们需要使用你的更改更新 Tripwire 的策略。twadmin 命令会将文本策略文件编译成 Tripwire 可以使用的二进制格式：
```
sudo twadmin -m P /etc/tripwire/twpol.txt
```
系统会提示你输入本地密码——这是你在安装 Tripwire 时设置的密码。
最后，我们需要更新数据库以包含新文件。这将创建一个新的基线快照，后续的完整性检查将与之进行比较：
```
sudo tripwire --update --database /var/lib/tripwire/$(hostname).twd
```

现在，Tripwire 将监控 ~/project 目录中的所有文件是否有任何更改。这包括文件修改、删除或权限更改——任何与当前数据库快照不同的内容都将被报告。

检查文件完整性

在这一步中，你将执行完整性检查，以验证自数据库创建以来，任何受监控的文件是否被修改过。这是 Tripwire 的核心功能，有助于检测未经授权的更改。你可以将其想象成一个保安，不断检查是否有重要文件在未经许可的情况下被更改。

在开始之前，让我们了解一下完整性检查期间会发生什么：

Tripwire 会扫描所有配置为监控的文件。
它会将每个文件的当前状态与存储在其数据库中的原始快照进行比较。
任何差异（添加、删除或修改）都会在报告中标记出来。

按照以下步骤检查文件完整性：

首先，在你的项目目录中创建一个测试文件，Tripwire 会对其进行监控。这将帮助我们了解 Tripwire 如何检测新文件：
```
touch ~/project/test_file.txt
```
现在运行完整性检查命令。需要使用 sudo，因为 Tripwire 需要 root 权限才能访问所有系统文件：
```
sudo tripwire --check
```

扫描可能需要一些时间，因为 Tripwire 会经历几个阶段。你会看到类似以下的输出：

#### Phase 1: Reading configuration file
#### Phase 2: Generating file list
#### Phase 3: Creating file information database
#### Phase 4: Searching for inconsistencies
#### Phase 5: Generating report

Tripwire 会生成一份报告，显示检测到的任何更改。由于我们刚刚创建了一个新文件，你应该会在输出中看到类似这样的条目，表明 Tripwire 已经注意到了这个新文件：
```
Added:
"/home/labex/project/test_file.txt"
```
要查看完整的报告，我们需要检查存储在 Tripwire 报告目录中的最新报告文件。此命令会按时间对报告进行排序，最先显示最新的报告：
```
sudo ls -lt /var/lib/tripwire/report/ | head -n 2
```
从输出中记录最新的报告文件名（它看起来可能像 labex-hostname-YYYYMMDD-HHMMSS.twr）。

完整性检查现已成功完成。Tripwire 已经扫描了所有受监控的文件，并在其报告中记录了任何更改。在下一步中，我们将详细检查报告，以了解如何解读其结果。

查看完整性报告

在这最后一步中，你将查看由完整性检查生成的 Tripwire 报告。这份报告本质上是当前系统文件与之前创建的基线数据库之间的详细对比。理解这份报告至关重要，因为它能精确显示自上次检查以来哪些文件被添加、删除或修改了。

让我们逐步了解这个过程：

首先，我们需要找到最新的报告文件。Tripwire 将其报告存储在特定目录中，文件名包含时间戳：
```
sudo ls -lt /var/lib/tripwire/report/ | head -n 2
```
ls -lt 命令按修改时间列出文件（最新的在前），head -n 2 只显示前两行（标题和最新文件）。查找类似 your-hostname-YYYYMMDD-HHMMSS.twr 的文件名。
现在，我们将使用 Tripwire 内置的报告查看器来查看内容。--report-level 4 选项能提供最详细的视图：
```
sudo twprint --print-report --report-level 4 --twrfile /var/lib/tripwire/report/[REPORT_FILENAME]
```
记得将 [REPORT_FILENAME] 替换为你在步骤 1 中找到的实际文件名。
完整的报告包含几个重要部分，有助于你了解发生了哪些变化：
- 新增文件：这些是原始基线中不存在的新文件。
- 删除文件：基线中存在但现在已缺失的文件。
- 修改文件：内容或属性发生变化的现有文件。
- 错误摘要：检查过程中遇到的任何问题。
如果你只想快速查看变化摘要而不需要所有细节，可以过滤报告：
```
sudo twprint --print-report --report-level 4 --twrfile /var/lib/tripwire/report/[REPORT_FILENAME] | grep -A 10 "Report Summary"
```
grep -A 10 命令显示“Report Summary”行以及接下来的 10 行上下文。

典型的摘要输出如下所示：

Report Summary:
--------------------------------------------------------------------------
Added objects:   1
Removed objects: 0
Modified objects: 0

这能让你一目了然地知道有多少文件被添加、删除或更改。

当你查看完报告后，如果终端使用了分页器，可以按 q 退出；或者只需等待输出结束。

总结

在本次实验中，你学习了如何在 Debian 系统上使用 Tripwire 实现文件完整性监控。这个过程包括安装 Tripwire、配置环境以及初始化基线数据库，以建立文件完整性参考。

你探索了一些关键操作，如策略文件生成、系统扫描，以及理解 Tripwire 的更改检测机制。本次实验还处理了初始化期间可能出现的警告，同时专注于构建一个有效的监控框架。