Résumé : La configuration de Samhain passe par la mise en place de règles de filtrage sur les informations issues des logs et destinées à constituer la base de données initiale correspondant à une image d'intégrité de votre système d'exploitation. Il est ainsi possible de définir des alertes sur les modifications de permissions et de propriétaire des fichiers inclus dans cette image.

Poster un commentaire

Promo interne : Certificats annuels SSL ( Voir les détails ) 128/256 bits à racine unique. Installables en 30 secondes, 99% des navigateurs compatibles ! Disponibles en ligne en 10 minutes : RapidSSL ( 62 EUR - Voir ), RapidSSL Pro réémission gratuite ( 98 EUR - Voir ) & QuickSSL Premium, réémission gratuite, compatible PDA, sceau de validité ( 129 EUR - Voir ) - Promo spéciale 20 % sur les certificats SSL VeriSign jusqu'au 31 mai 2008 ( Voir ) 1 Year VPN Unlimited Who needs VPN4U Services ? Hotspot Wireless Users at risk of having personal datas stolen like passwords ! Home Internet Users, Cable and DSL providers don't filtering exploits ! International Internet Users living where Governments prevent users from enjoying Internet, USA IP = no controls ! 36 USD - Buy

NDLR : ce document a été rédigé en 2006, certaines versions ainsi que certaines configurations des logiciels utilisés selon ces versions peuvent être différentes de celles qui sont mentionnées ; merci de vous reporter vers les sites officiels des projets en question en cas de problème.


Il est temps maintenant de procéder à la configuration de l'applicatif via un fichier unique « samhainrc » situé dans le chemin « /etc/samhainrc »,

Utilisez vi ou autres selon vos convenances pour éditer le fichier de configuration de Samhain :

ns30074:~/samhain-2.2.1b# vi /etc/samhainrc


On trouve en premier les règles régissant les informations qui vont servir à initialiser la base de données en ce qui concerne la racine « / » de votre système ; on y définit le répertoire de base avec « dir » dans la section « ReadOnly » ainsi que les sous-arborescences qui vont être surveillées avec « file » dans la section « Attributes » :

#
# --------- / --------------
#

[ReadOnly]
dir = 0/

[Attributes]
file = /tmp
file = /dev
file = /media
file = /proc
file = /sys


On retrouve ensuite les règles régissant les informations qui vont servir à initialiser la base de données en ce qui concerne le répertoire « /etc » de votre système ; la directive « dir » de la section « ReadOnly » sert ici également à définir que les alertes remontées seront relatives aux modifications de permissions et de propriétaire pour ces fichiers :

#
# --------- /etc -----------
#

[ReadOnly]
##
## for these files, only access time is ignored
##
dir = 99/etc

[Attributes]
##
## check permission and ownership
##
file = /etc/mtab
file = /etc/adjtime
file = /etc/motd
file = /etc/lvm/.cache

# On Ubuntu, these are in /var/lib rather than /etc
file = /etc/cups/certs
file = /etc/cups/certs/0

# managed by fstab-sync on Fedora Core
file = /etc/fstab

# modified when booting
file = /etc/sysconfig/hwconf


On trouve ensuite les règles régissant les informations qui vont servir à initialiser la base de données en ce qui concerne le répertoire « /boot » de votre système :

# --------- /boot -----------
#

[ReadOnly]
dir = 99/boot


Puis les règles régissant les informations qui vont servir à initialiser la base de données en ce qui concerne les répertoires « /bin » et « /sbin » de votre système :

#
# --------- /bin, /sbin -----------
#

[ReadOnly]
dir = 99/bin
dir = 99/sbin


Vient ensuite les règles régissant les informations qui vont servir à initialiser la base de données en ce qui concerne le répertoire « /lib » de votre système :

#
# --------- /lib -----------
#

[ReadOnly]
dir = 99/lib


Les règles régissant les informations qui vont servir à initialiser la base de données en ce qui concerne le répertoire « /dev » de votre système tout en excluant via la section « IgnoreAll » certains fichiers dynamiquement modifiés par le système et dont la remontée d'informations ne présente pas d'intérêt :

#
# --------- /dev -----------
#

[Attributes]
dir = 99/dev

[IgnoreAll]
##
## pseude terminals are created/removed as needed
##
dir = -1/dev/pts

# dir = -1/dev/.udevdb

file = /dev/ppp


Celles qui vont servir à initialiser la base de données en ce qui concerne le répertoire « /usr » de votre système :

#
# --------- /usr -----------
#

[ReadOnly]
dir = 99/usr


Les informations pour l'initialisation de la base de données en ce qui concerne le répertoire « /var » de votre système :

#
# --------- /var -----------
#

[ReadOnly]
dir = 99/var

[IgnoreAll]
dir = -1/var/cache
dir = -1/var/backups
dir = -1/var/games
dir = -1/var/gdm
dir = -1/var/lock
dir = -1/var/mail
dir = -1/var/run
dir = -1/var/spool
dir = -1/var/tmp
dir = -1/var/lib/texmf
dir = -1/var/lib/scrollkeeper

[Attributes]

dir = /var/lib/nfs
dir = /var/lib/pcmcia

# /var/lib/rpm changes if packets are installed;
# /var/lib/rpm/__db.00[123] even more frequently
file = /var/lib/rpm/__db.00?

file = /var/lib/acpi-support/vbestate
file = /var/lib/alsa/asound.state
file = /var/lib/apt/lists/lock
file = /var/lib/apt/lists/partial
file = /var/lib/cups/certs
file = /var/lib/cups/certs/0
file = /var/lib/dpkg/lock
file = /var/lib/gdm
file = /var/lib/gdm/.cookie
file = /var/lib/gdm/.gdmfifo
file = /var/lib/gdm/:0.Xauth
file = /var/lib/gdm/:0.Xservers
file = /var/lib/logrotate/status
file = /var/lib/mysql
file = /var/lib/mysql/ib_logfile0
file = /var/lib/mysql/ibdata1
file = /var/lib/slocate
file = /var/lib/slocate/slocate.db
file = /var/lib/slocate/slocate.db.tmp
file = /var/lib/urandom
file = /var/lib/urandom/random-seed
file = /var/lib/random-seed
file = /var/lib/xkb


L'initialisation de la base de données en ce qui concerne le répertoire « /var/log » de votre système ; ici les signatures, les dates et la taille grandissante des fichiers ne sont pas pris en compte dans les attributs dont les modifications remontent des alertes.

De plus certaines règles d'exception sont ajoutées sur les formats de nom notamment dans la directive « Misc » :

[GrowingLogFiles]
##
## For these files, changes in signature, timestamps, and increase in size
## are ignored. Logfile rotation will cause a report because of shrinking
## size and different inode.
##
dir = 99/var/log

[Attributes]
#
# rotated logs will change inode
#
file = /var/log/*.[0-9].gz
file = /var/log/*.[0-9].log
file = /var/log/*.[0-9]
file = /var/log/*.old
file = /var/log/*/*.[0-9].gz
file = /var/log/*/*.[0-9][0-9].gz
file = /var/log/*/*.log.[0-9]

[Misc]
#
# Various naming schemes for rotated logs
#
IgnoreAdded = /var/log/.*\.[0-9]+$
IgnoreAdded = /var/log/.*\.[0-9]+\.gz$
IgnoreAdded = /var/log/.*\.[0-9]+\.log$
#
# Subdirectories
#
IgnoreAdded = /var/log/[[:alnum:]]+/.*\.[0-9]+$
IgnoreAdded = /var/log/[[:alnum:]]+/.*\.[0-9]+\.gz$
IgnoreAdded = /var/log/[[:alnum:]]+/.*\.[0-9]+\.log$
#
IgnoreAdded = /var/lib/slocate/slocate.db.tmp
IgnoreMissing = /var/lib/slocate/slocate.db.tmp


Une dernière partie à configurer, elle concerne les informations relatives à l'envoi des rapports par email avec le positionnement du serveur de mail, le sujet des emails et bien évidemment le mail de destination :

## --- E-Mail ---

# Only highest-level (alert) reports will be mailed immediately,
# others will be queued. Here you can define, when the queue will
# be flushed (Note: the queue is automatically flushed after
# completing a file check).
#
# SetMailTime = 86400

## Maximum number of mails to queue
#
# SetMailNum = 10

## Recipient (max. 8)
#
SetMailAddress=xavier.poli@infratech.fr

## Mail relay (IP address)

SetMailRelay = 207.46.197.32

## Custom subject format
#
MailSubject = Samhain Report

## --- end E-Mail ---


Autres ressources dans ce dossier :

[Samhain FIDS multi-postes centralisé – Partie 1] Introduction et installation – lien http interne url:[click]

[Samhain FIDS multi-postes centralisé – Partie 3] Utilisation – lien http interne url:[click]

[Samhain FIDS multi-postes centralisé – Partie 4] Résultats – lien http interne url:[click]

Poster un commentaire