Linux系统安全讲义-IDSTripwire档案比对工具

1. Tripwire是一套比對檔案/目錄完整性的安全工具，經由比對現存檔案與先前所建立的基準資料庫

(baseline database)，如果發現有任何資料受到新增、刪除或修改，Tripwire可即時通知系統管理員，並產生彈性的可讀式報告；管理員可依此評估是否要進行後續檢驗或系統還原的工作。

2. Tripwire RPM 版的相關檔案如下：

程式檔：(在 /usr/sbin/)

－tripwire(#man tripwire)：提供五大模式維護工作，(1)資料庫初始化 (2)完整性檢驗

(3)資料庫更新 (4)原則更新 (5)郵件測試

－twadmin(#man twadmin)：可產生Tripwire所使用的設定檔，原則檔及金鑰檔，也用來做編碼

及簽章

－twprint(#man twprint)：以純文字列出資料庫和報告檔內容

－siggen(#man siggen)：可檢視檔案的雜湊編碼資料

設定檔：/etc/tripwire/tw.cfg --(twcfg.txt-未加密) 原則檔：/etc/tripwire/tw.pol --(twpol.txt-未加密)

資料庫：/var/lib/tripwire/$(HOSTNAME).twd

報告檔：/var/lib/tripwire/report/$(HOSTNAME)-$(DATE).twr

金鑰檔：分為site key和local key；site key可用在多套系統上，是用來保護設定檔和原則檔；

local key是針對個別主機使用的，例如每個主機的資料庫

(/etc/tripwire/site.key和 $(HOSTNAME)-local.key

3. 下載軟體：tar.gz: www.1mpi.com (下載tripwire-2.3.1以上版本)

rpm: www.1mpi.com 搜尋 "tripwire" (RedHat 光碟第二片也有)