Résumé : Initialisation de la base d'intégrité correspondant au système d'exploitation en fonction des configurations préalablement effectuées, édition et modification du fichier de configuration en fonction des alertes effectives afin d'en optimiser le nombre reçu.

Poster un commentaire

Promo interne : Certificats annuels SSL ( Voir les détails ) 128/256 bits à racine unique. Installables en 30 secondes, 99% des navigateurs compatibles ! Disponibles en ligne en 10 minutes : RapidSSL ( 62 EUR - Voir ), RapidSSL Pro réémission gratuite ( 98 EUR - Voir ) & QuickSSL Premium, réémission gratuite, compatible PDA, sceau de validité ( 129 EUR - Voir ) - Promo spéciale 20 % sur les certificats SSL VeriSign jusqu'au 31 mai 2008 ( Voir ) 1 Year VPN Unlimited Who needs VPN4U Services ? Hotspot Wireless Users at risk of having personal datas stolen like passwords ! Home Internet Users, Cable and DSL providers don't filtering exploits ! International Internet Users living where Governments prevent users from enjoying Internet, USA IP = no controls ! 36 USD - Buy

NDLR : ce document a été rédigé en 2006, certaines versions ainsi que certaines configurations des logiciels utilisés selon ces versions peuvent être différentes de celles qui sont mentionnées ; merci de vous reporter vers les sites officiels des projets en question en cas de problème.


De nombreuses options sont disponibles, vous avez jusqu'à maintenant visualiser l'exemple d'une configuration minimale qui conviendra dans la majorité des cas. Le système est alors prêt pour que l'HIDS puissent être lancés, regardons plus en détails les options qui nous sont proposées :

ns30074:~/samhain-2.2.1b# samhain --help
This is samhain (2.2.1b), (c) 1999-2005 Rainer Wichmann (lien http externe url:[click]
This software comes with ABSOLUTELY NO WARRANTY. Use at own risk.
Usage:

-t <arg>, --set-checksum-test=<arg>, Set checksum testing to 'init', 'update', or 'check'
-i, --interactive, Run update in interactive mode
-D, --daemon, Run as daemon
--foreground, Stay in the foreground
--bind-address=<arg>, Bind to this address (interface) for outgoing connections
-s <arg>, --set-syslog-severity=<arg>, Set severity threshold for syslog
-x <arg>, --set-extern-severity=<arg>, Set severity threshold for logging by external program(s)
-l <arg>, --set-log-severity=<arg>, Set severity threshold for logfile
-m <arg>, --set-mail-severity=<arg>, Set severitythreshold for e-mail
-p <arg>, --set-print-severity=<arg>, Set the severity threshold for terminal/console log
-r <arg>, --recursion=<arg>, Set recursion level for directories
-L <arg>, --verify-log=<arg>, Verify the audit trail
-j, --just-list, Modify -L to just list the audit trail
-M <arg>, --verify-mail=<arg>, Verify the mailbox
-V <arg>, --add-key=<arg>, Add key for the mail/log signature
-H <arg>, --hash-string=<arg>, Print the hash of a string
-f, --forever, Loop forever, even if not daemon
-a, --full-detail, Modify -d to list full details
--delimited, Modify -d to list full details, comma delimited
-d <arg>, --list-database=<arg>, List database content (like ls -l)
--init2stdout, Write database to stdout on init
--trace-logfile=<arg>, Logfile for trace
--trace-enable, Enable tracing
-c, --copyright, Print copyright information
-h, --help, Print usage information

Please report bugs to support@la-samhna.de.


Il est d'abord nécessaire d'initialiser la base de données globale des fichiers présents sur le système en fonction des configurations précédemment définies et de leur signature :

ns30074:~/samhain-2.2.1b# samhain -t init


Lancez maintenant l'applicatif avec les fonctions de surveillance et en tant que « daemon » (Service) :

ns30074:~# samhain -t check -D
ERROR : [2006-06-26T18:14:27+0200] msg=<No such file or directory>, interface=<glob>, path=</var/lib/rpm>
ERROR : [2006-06-26T18:14:27+0200] msg=<No matches found>, interface=<glob>, path=</var/lib/rpm/__db.00?>
ERROR : [2006-06-26T18:14:27+0200] msg=<No matches found>, interface=<glob>, path=</var/log/*.[0-9].log>
ERROR : [2006-06-26T18:14:27+0200] msg=<No matches found>, interface=<glob>, path=</var/log/*.old>


Comme vous pouvez le voir, on opère ici sur une distribution « Linux » de type « Debian-Like », les résultats du premier test remontent des alertes relatives au répertoire « /var/lib/rpm » qui logiquement n'existe pas plus que les fichiers « /var/lib/rpm/__db.00? ».

De plus, un listage du répertoire des logs « /var/log » donne le résultat suivant :

ns30074:~# ls -w 1 /var/log/
apache
apache-ssl
auth.log
auth.log.0
auth.log.1.gz
auth.log.2.gz
auth.log.3.gz
auth.log.4.gz
auth.log.5.gz
auth.log.6.gz
base-config.log.1
base-config.log.2.gz
base-config.timings.1
base-config.timings.2.gz
btmp
btmp.1
daemon.log
daemon.log.0
daemon.log.1.gz
daemon.log.2.gz
daemon.log.3.gz
debug
debug.0
debug.1.gz
debug.2.gz
debug.3.gz
dmesg
exim4
fontconfig.log
kern.log
kern.log.0
kern.log.1.gz
kern.log.2.gz
kern.log.3.gz
kern.log.4.gz
kern.log.5.gz
kern.log.6.gz
lastlog
lpr.log
mail.err
mail.err.0
mail.info
mail.info.0
mail.log
mail.log.0
mail.warn
mail.warn.0
messages
messages.0
messages.1.gz
messages.2.gz
messages.3.gz
messages.4.gz
messages.5.gz
messages.6.gz
mysql
mysql.err
mysql.err.1.gz
mysql.err.2.gz
mysql.err.3.gz
mysql.err.4.gz
mysql.err.5.gz
mysql.err.6.gz
mysql.err.7.gz
mysql.log
mysql.log.1.gz
mysql.log.2.gz
mysql.log.3.gz
mysql.log.4.gz
mysql.log.5.gz
mysql.log.6.gz
mysql.log.7.gz
news
samhain_log
samhain_log.lock
syslog
syslog.0
syslog.1.gz
syslog.2.gz
syslog.3.gz
syslog.4.gz
syslog.5.gz
syslog.6.gz
sysstat
user.log
user.log.0
user.log.1.gz
user.log.2.gz
user.log.3.gz
uucp.log
wtmp
wtmp.1


Comme vous pouvez le constater ici les logs de la forme « /var/log/*.[0-9].log » et « /var/log/*.old » n'existent pas, il est donc nécessaire de configurer à nouveau le fichier « /etc/samhainrc » en fonction et effacer les lignes adéquates en plus de celles concernant les « rpm » :

file = /var/log/*.[0-9].log
file = /var/log/*.old
file = /var/lib/rpm/__db.00?


On relance un test :

ns30074:~/samhain-2.2.1b# samhain -t check -D


Les erreurs précédentes ont bien disparu, le système semble fonctionnel cependant une ultime vérification s'impose.


Autres ressources dans ce dossier :

[Samhain FIDS multi-postes centralisé – Partie 1] Introduction et installation – lien http interne url:[click]

[Samhain FIDS multi-postes centralisé – Partie 2] Configuration – lien http interne url:[click]

[Samhain FIDS multi-postes centralisé – Partie 4] Résultats – lien http interne url:[click]

Poster un commentaire