TRIPWIRE File Integrity Checks

1. TRIPWIREFile Integrity Checks Fitri Setyorini Teknologi Informasi Politeknik Elektronika Negeri Surabaya

2. Objective • Overview Tripwire • Manfaat Tripwire • Komponen Konfigurasi • Variabel File Konfigurasi • Membaca Laporan Tripwire

3. Distribusi Tripwire • Debian • RedHat • Caldera • Turbolinux • SuSE • BSD • FreeBSD

4. Overview Tripwire • Salah satu tool untuk pemeriksaan integritas sistem • Digunakan untuk memonitor perubahan yang terjadi pada sebuah sistem

5. Mengapa Tripwire penting ? • Cracker mungkin menambah, mengubah file atau hak akses (permission) file, menginstall program, menghapus file atau program • Tripwire mampu mengecek file atau program dan membandingkannya dengan database sebelumnya

6. Bagaimana Tripwire Bekerja ? • Tripwire bekerja dengan membuat sebuah database informasi semua file sistem dan menyimpannya pada suatu file • Setiap kali tripwire dijalankan untuk melakukan pengecekan file sistem hasil pemeriksaan akan dibandingkan dengan database yang pernah dibuat

7. Apa yang dikerjakan Tripwire ? • File Integrity Checking • Tripwire mamppu mendeteksi perubahan file • Tripwire membandingkan antara database file sebelum pengecekan dengan sesudah pengecekan

8. Apa yang tidak dikerjakan Tripwire ? • Tripwire tidak dapat menghalangi perubahan file/system • False positif karena salah setting pada file policy, file konfigurasi, atau tidak update database • Triwire bukan antivirus • Tripwire dapat dimanipulasi

9. Source Tripwire • www.tripwire.org • http://sourceforge.net/projects/tripwire/ • http://www.tripwire.com/

10. Dimana Tripwire Dipasang? • Terlindung • Media Read Only

12. 4 Komponen File Konfigurasi • File Konfigurasi • Digunakan untuk melakukan konfigurasi tripwire • File /etc/tripwire/tw.cfg • File /etc/tripwire/twcfg.txt • File Policy • Admin dapat menentukan bagaimana tripwire melakukan cek thd sistem • File /etc/tripwire/tw.pol • File /etc/tripwire/twpol.txt

13. File Database • Digunakan untuk menyimpan database informasi sistem • Diperoleh waktu pertama installasi • File /var/lib/tripwire/<comp>.<domain>.twd

14. File Report • Diperoleh dari hasil pengecekan • Laporan file termasuk perubahan yang terjadi di sistem • File /var/lib/tripwire/report/<comp>.<domain> -<yymmdd>-<time>.twr

15. Site Key & Local Key Password • Site key password melindungi file configurasi dan policy • Local key password melindungi file database dan report

16. Troubleshooting Tripwire • Install dan customisasi file konfigurasi dan policy • Inisialisasi database • Melaksanakan cek integritas system • Periksa hasil report dari hasil cek, bila pelanggaran terjadi, periksalah apakah pelanggaran tersebut terjadi karena administrator melakukan perubahan sistem

17. Bila pelanggaran di luar kuasa admin, lakukan tindakan pencegahan yang diperlukan • Bila pelanggaran karena admin mengubah sistem, cek apakah error disebabkan oleh file policy. • Jika bukan disebabkan file policy, update databe tripwire • Jika disebabkan file policy, update file policy

18. Inisialisasi database • /usr/sbin/tripwire --init • Perintah ini akan membangun database ttg konfigurasi sistem • Diperoleh waktu pertama installasi tripwire • File /var/lib/tripwire/<comp>.<domain>.twd • Print file database • /usr/sbin/twprint -m d --print-dbfile | less • Print file tertentu • /usr/sbin/twprint -m d --print-dbfile /etc/hosts

19. Cek Integritas System • /usr/sbin/tripwire --check • Dengan menggunakan cron, admin mengatur pengecekan sistem secara berkala • Hasil pengecekan bisa diemailkan secara otomatis • Print hasil cek : • twprint -m r --twrfile /var/lib/tripwire/report/ nama-file-report.twr

20. Melakukan update policy • Edit file /etc/tripwire/twpol.txt • Beri comment baris-baris dengan # # /etc/smb.conf -> $(SEC_CONFIG) ; • HOSTNAME=<comp_name>.<domain> • Bila file twpol.txt tidak ada, generate dengan • twadmin --print-polfile > /etc/tripwire/twpol.txt

21. Generate file tw.pol dengan • /usr/sbin/twadmin --create-polfile -S site.key /etc/tripwire/twpol.txt • Mengupdate file tw.pol : • tripwire --update-policy /etc/tripwire/twpol.txt

22. Update database • Hapus file database yang lama • rm /var/lib/tripwire/nama-file.twd • Buat file database baru • /usr/sbin/tripwire --init • Update file database : • /usr/sbin/tripwire --update --twrfile /var/lib/tripwire/report/nama-file.twr

23. Tripwire Interaktif • Mengupdate database interaktif : • /usr/sbin/tripwire--interactive • Cek dan membandingkan dg database • tripwire --check --interactive

24. Tripwire dan email • Edit policy file : ( rulename = "Networking Programs", severity = $(SIG_HI), emailto = fitri@eepis-its.edu; ) • Emailkan : /usr/sbin/tripwire --test --email fitri@eepis-its.edu;

25. Tripwire dan cron • Masukkan skrip runtw.sh di /usr/local/bin • #!/bin/sh /usr/sbin/tripwire -m c | mail -s "Tripwire Report from HOST" root@localhost • Edit tabel crontab dg crontab -e • Jadwalkan skrip runtw.sh agar berjalan pukul 1:01 pagi dg perintah : • 1 1 * * * /usr/local/bin/runtw.sh

26. Tripwire Report

31. Aplikasi File Integrity Checkers • AIDE • NABOU • Integrit • Samhain • ViperDB • http://www.resentment.org/projects/viperdb/ • FCHECK • http://sites.netscape.net/fcheck/fcheck.html • Sentinel • http://zurk.netpedia.net/zfile.html

34. Selamat Belajar !!!