Конфигурирование Tripwire

Заключительным шагом, предшествующим запуску Tripwire, служит задание вашей политики. Файл политики очень важен для работы Tripwire: в нем специфицируются отслеживаемые файлы и уровень детализации. Основной файл политики, twpol.txt, находится в главном каталоге Tripwire. Строго говоря, это не сам файл политики, а копия зашифрованной версии, которую в действительности использует программа. Для большей безопасности необходимо сделать копию и удалить незашифрованную версию twpol.txt, после того как вы определите и протестируете свою политику.

В начале файла политики задано несколько системных переменных, а затем следует список различных файлов и каталогов с директивами политики для них. Эти директивы представлены либо кодовыми буквами, либо именами переменных. Они называются масками свойств и задают свойства, отслеживаемые Tripwire. В табл. 3 перечислены элементы, которые могут отслеживаться для каждого файла, и их кодовые буквы.

Таблица 3. Маски свойств Tripwire

Буква кода	Отслеживаемый атрибут
a	Время последнего доступа
b	Отведенные блоки
с	Время создания/изменения
d	Идентификатор устройства, на котором располагается описатель файла
g	Идентификатор владеющей группы файла
i	Номер описателя файла
l	Разрешен ли рост файла
m	Метка времени изменения
n	Значение счетчика ссылок в описателе файла
p	Режим доступа к файлу
s	Размер файла
t	Тип файла
u	Идентификатор пользователя владельца файла
C	Хэш-код CRC32
H	Хэш-код Haval
M	Хэш-код MD5
S	Хэш-код SHA/SHS

Политики Tripwire действуют по принципу флагов игнорирования. Можно сконфигурировать Tripwire для отслеживания или игнорирования различных свойств файлов. Знак + (плюс) используется для отслеживания свойств, а знак - (минус) - для их игнорирования. Формат инструкций в файле политики таков:

имя_файла/каталога -> маска_свойств;

Например, следующая строка в файле политики

/etc/secretfile.txt -> +amcpstu;

предписывает Tripwire извещать вас всякий раз, когда у файла secretfile.txt в каталоге /etc изменяются время последнего доступа, время создания или модификации, режим доступа, владелец, размер или тип файла.

Существует также несколько предопределенных масок свойств. В табл. 4 перечислены эти стандартные маски и их действие.

Таблица 4. Стандартные маски свойств

Маска свойств	Действие
$Readonly	+pinugtsdbmCM-rlaSH
$Dynamic	+pinugtd-srlbamcCMSH
$Growing	+pinugtdl-srbamcCMSH
$Device	+pugsdr-intlbamcCMSH
$IgnoreAll	-pinugtsdrlbamcCMSH
$IgnoreNone	+pinugtsdrrlbamcCMSH

Предопределенные переменные соответствуют поведению различных наборов файлов. Например, можно использовать $Readonly для ключевых конфигурационных файлов, так как время доступа будет изменяться, когда программы их используют, но вы не желаете, чтобы изменялись размер или содержимое. Можно использовать $Growing для файлов журналов, так как они будут (во всяком случае, должны) постоянно увеличиваться в размере.