[sisyphus] tripwire или аналог

[sisyphus] tripwire или аналог

[Andrey Rogovsky]

Я не обнаружил tripwire в репозитарии. Может есть какой-то аналог?

Re: [sisyphus] tripwire или аналог

[Egor S. Orlov]

On Thu, 15 Apr 2004 14:58:35 +0300
Andrey Rogovsky <andreyka@envisionext.com.ua> wrote:

> Я не обнаружил tripwire в репозитарии. Может есть какой-то аналог?
> 

osec

-- 
WBR, Egor S. Orlov
FST SPbSPU

Re: [sisyphus] tripwire или аналог

[Andrey Rogovsky]

Egor S. Orlov пишет:

>osec
>
>  
>

Попробовал
osec -D /var/db/ -f /etc/osec
Init database for /etc ...
fatal:unable to create temporary file

Что не так?

Он умеет подписывать базу openssl-ключем?

Re: [sisyphus] tripwire или аналог

[Andrey Rogovsky]

Andrey Rogovsky пишет:

>
> Что не так?
>
> Он умеет подписывать базу openssl-ключем?


Отвечаю сам себе. Не умеет. И потому ценность его сомнительна...

[sisyphus] Re: tripwire или аналог

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 412 bytes --]

On Fri, Apr 16, 2004 at 02:35:49PM +0300, Andrey Rogovsky wrote:
> >Он умеет подписывать базу openssl-ключем?
> Отвечаю сам себе. Не умеет. И потому ценность его сомнительна...

Ну соберите tripwire, если есть желание -- можно и в Sisyphus
поддерживать.  Опять же на aide какой может иметь смысл тогда
посмотреть.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] tripwire или аналог

[Stanislav Ievlev]

On Thu, Apr 15, 2004 at 04:08:40PM +0300, Andrey Rogovsky wrote:
> Egor S. Orlov пишет:
> 
> >osec
> >
> > 
> >
> 
> Попробовал
> osec -D /var/db/ -f /etc/osec
> Init database for /etc ...
> fatal:unable to create temporary file
Это означает что права на /var/db неверные.
Проще всего поставить пакет osec-mailreport в качестве примера настройки.
> 
> Что не так?
> 
> Он умеет подписывать базу openssl-ключем?
Если надо - думаю несложно будет это добавить.
> 
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@altlinux.ru
> http://lists.altlinux.ru/mailman/listinfo/sisyphus

Re: [sisyphus] Re: tripwire или аналог

[Andrey Rogovsky]

Michael Shigorin пишет:

>Ну соберите tripwire, если есть желание -- можно и в Sisyphus
>поддерживать.  Опять же на aide какой может иметь смысл тогда
>посмотреть.
>  
>
Что за aide?

[andrey@admin1 andrey]$ sudo apt-get update
Получено: 1 ftp://gor i586 release [2919B]
Получено 2919B за 0s (3203B/s).
Получено: 1 ftp://gor i586/classic pkglist [1523kB]
Найдено ftp://gor i586/classic release
Получено: 2 ftp://gor i586/classic srclist [677kB]
Получено 2200kB за 7s (293kB/s).
Чтение списков пакетов... Завершено
Построение дерева зависимостей... Завершено
[andrey@admin1 andrey]$ apt-cache search aide
[andrey@admin1 andrey]$


Не нашел.

[sisyphus] Re: tripwire или аналог

[Michael Shigorin]

On Tue, Apr 20, 2004 at 05:37:37PM +0300, Andrey Rogovsky wrote:
> >Ну соберите tripwire, если есть желание -- можно и в Sisyphus
> >поддерживать.  Опять же на aide какой может иметь смысл тогда
> >посмотреть.
> Что за aide?  Не нашел.

Hint: tripwire тоже не нашли. :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] tripwire или аналог

[Andrei Bulava]

On Fri, 16 Apr 2004, Michael Shigorin wrote:

> On Fri, Apr 16, 2004 at 02:35:49PM +0300, Andrey Rogovsky
> wrote:
> > >Он умеет подписывать базу openssl-ключем?
> > Отвечаю сам себе. Не умеет. И потому ценность его
> сомнительна...
>
> Ну соберите tripwire, если есть желание -- можно и в Sisyphus
> поддерживать.  Опять же на aide какой может иметь смысл тогда
> посмотреть.

Беглое изучение http://www.cs.tut.fi/~rammer/aide/manual.html
показывает, что "подписывать базу openssl-ключем" aide не
приучена, иначе к чему предупреждение:

<cite>

The newly created database should now be moved to a secure
location such as read-only media. You should also place the
configuration file and the Aide binary and preferably the manual
pages and this manual on that media also. Please remember to edit
the configuration file so that the input database is read from
that read-only media. The config file should not be kept on the
target machine. The attacker could read the config file and alter
it or even if he does alter it he could place his rootkit to
place that Aide does not check. So the read-only media should be
accessible only during the check.

</cite>

Если б умела, то ограничились бы замечанием, что в надёжном месте
достаточно хранить приватную часть ключа, а не дёргаться каждый
день с записью/чтением конфига и базы с read only носителем.

Если я правильно помню, то попытка поддерживать tripwire для ALT
Linux уже была (Master 2.0 / Junior 2.0 ?). Я пробовал её
использовать и на собственном опыте убедился, что "Security is a
trade-off with usability". По последнему критерию она подходит
для систем с редко изменяемым окружением / приложениями. А osec и
не напрягает на домашней машинке, и ощущения полного хаоса и
бардака не возникает.

// AB1002-UANIC

Re: [sisyphus] Re: tripwire или аналог

[Mike Lykov]

В сообщении от Вторник 20 Апрель 2004 19:37 Andrey Rogovsky написал:

> Что за aide?

> [andrey@admin1 andrey]$ apt-cache search aide
> [andrey@admin1 andrey]$
> Не нашел.

поищи на freshmeat. типа tripwire & osec

-- 
Mike

Re: [sisyphus] tripwire или аналог

[Stanislav Ievlev]

On Fri, Apr 16, 2004 at 02:35:49PM +0300, Andrey Rogovsky wrote:
> Andrey Rogovsky пишет:
> 
> >
> >Что не так?
> >
> >Он умеет подписывать базу openssl-ключем?
> 
> 
> Отвечаю сам себе. Не умеет. И потому ценность его сомнительна...
Смотря для чего ;)

osec - это "облегчённая" от всяких излишеств программа. Все прибомбасы
добавляются только в случае чётко осознанной необходимости.

Как показывает практика больше по жизни и не требуется.

А если нужна реальная безопасность очень высокого уровня , то и средства нужно использовать
посильнее. Например гораздо логичнее разделить данные на те которые должны
изменяться и те которые должны изменяться.
Для  тех которые должны изменяться всё-равно triwire не поможет,
а для вторых, дешевле сделать их как read-only при помощи 
каких-либо простых и сильных средств.

> 
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@altlinux.ru
> http://lists.altlinux.ru/mailman/listinfo/sisyphus

Re: [sisyphus] Re: tripwire или аналог

[Andrey Rogovsky]

Michael Shigorin пишет:

>Hint: tripwire тоже не нашли. :)
>
>  
>

Т.е. собирать самому?

Re: [sisyphus] tripwire или аналог

[Andrey Rogovsky]

Andrei Bulava пишет:

>использовать и на собственном опыте убедился, что "Security is a
>trade-off with usability". По последнему критерию она подходит
>для систем с редко изменяемым окружением / приложениями. А osec и
>  
>

Именно для этого мне и нужно.

Re: [sisyphus] tripwire или аналог

[Andrey Rogovsky]

Stanislav Ievlev пишет:

>>Отвечаю сам себе. Не умеет. И потому ценность его сомнительна...
>>    
>>
>Смотря для чего ;)
>
>  
>

Поясняю. Мне надо знать, смогу я доверять системе или нет. Если мне 
приходит отчет в котором я вижу что изменили к приеру httpd, то ясное 
дело, что систему ломанули.

>osec - это "облегчённая" от всяких излишеств программа. Все прибомбасы
>добавляются только в случае чётко осознанной необходимости.
>  
>

Я не смог ее запустить. Можно где-то example посмотреть?

>посильнее. Например гораздо логичнее разделить данные на те которые должны
>изменяться и те которые должны изменяться.
>  
>

Они могут изменятся. Если это делаю я.

>Для  тех которые должны изменяться всё-равно triwire не поможет,
>а для вторых, дешевле сделать их как read-only при помощи 
>каких-либо простых и сильных средств.
>  
>
То что обновление происходит редко, не значит что оно не происходит 
вообще. А удаленно перемонтировать из ro в rw и обратно я не умею.

Re: [sisyphus] tripwire или аналог

[Andrey Rogovsky]

Stanislav Ievlev пишет:

>Это означает что права на /var/db неверные.
>  
>
drwxr-xr-x    2 root     root           48 Jan 19 19:12 db

Это неверные?

>Проще всего поставить пакет osec-mailreport в качестве примера настройки.
>  
>

>>Что не так?
>>
>>Он умеет подписывать базу openssl-ключем?
>>    
>>
>Если надо - думаю несложно будет это добавить.
>  
>

Весь смысл этого в том, чтоб иметь представление о целостности системы. 
Без шифровки - это не возможно.

[sisyphus] Re: tripwire или аналог

[Michael Shigorin]

On Wed, Apr 21, 2004 at 01:59:15PM +0300, Andrey Rogovsky wrote:
> >Hint: tripwire тоже не нашли. :)
> Т.е. собирать самому?

Угу.  И если есть желание видеть в дистрибутивах, а не таскать с
собой -- в Sisyphus.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] tripwire или аналог

[Stanislav Ievlev]

On Wed, Apr 21, 2004 at 02:06:54PM +0300, Andrey Rogovsky wrote:
> Stanislav Ievlev пишет:
> 
> >Это означает что права на /var/db неверные.
> > 
> >
> drwxr-xr-x    2 root     root           48 Jan 19 19:12 db
> 
> Это неверные?
Да.
> 
> >Проще всего поставить пакет osec-mailreport в качестве примера настройки.
> > 
> >
> 
> >>Что не так?
> >>
> >>Он умеет подписывать базу openssl-ключем?
> >>   
> >>
> >Если надо - думаю несложно будет это добавить.
> > 
> >
> 
> Весь смысл этого в том, чтоб иметь представление о целостности системы. 
> Без шифровки - это не возможно.
Расскажите по-подробнее о стоящей задачи. Лучше прямо мне, а не в
рассылку. Какие цели преследуются? Какие возникают ограничения? и т.д.

> 
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@altlinux.ru
> http://lists.altlinux.ru/mailman/listinfo/sisyphus

Re: [sisyphus] tripwire или аналог

[Stanislav Ievlev]

> >добавляются только в случае чётко осознанной необходимости.
> > 
> >
> 
> Я не смог ее запустить. Можно где-то example посмотреть?
Как я уже говорил  - пакет osec-mailreport.

Всё дело в том, что osec сбрасывает свои полномочия до уровня
псевдопользователя перед началом работы.
> 
> >посильнее. Например гораздо логичнее разделить данные на те которые должны
> >изменяться и те которые должны изменяться.
> > 
> >
> 
> Они могут изменятся. Если это делаю я.
Ну значит это можно приравнять к read-only.
Впрочем лучше перевести эту дискуссию в частную переписку ибо она уже
выходит за рамки sisyphus@

Re: [sisyphus] tripwire или аналог

[Maxim Tyurin]

Andrey Rogovsky <andreyka@envisionext.com.ua> writes:
<scip>
> Весь смысл этого в том, чтоб иметь представление о целостности
> системы. Без шифровки - это не возможно.

Зачем обязательно шифровать?
ИМХО хватает хранить базу на RO носителе
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
			

Re: [sisyphus] tripwire или аналог

[Epiphanov Sergei]

В сообщении от 21 Апрель 2004 15:03 Andrey Rogovsky написал:
> То что обновление происходит редко, не значит что оно не происходит
> вообще. А удаленно перемонтировать из ro в rw и обратно я не умею.

mount <точка монтирования> -o remount,rw
или 
mount <точка монтирования> -o remount,ro

-- 
С уважением, Епифанов Сергей

Re: [sisyphus] tripwire или аналог

[Andrey Rogovsky]

Maxim Tyurin пишет:

>Зачем обязательно шифровать?
>ИМХО хватает хранить базу на RO носителе
>  
>
Сервер - удаленный.