主页 / server / 问题

问题[tripwire](server)

Martin Hope
user35042
Asked: 2012-06-21 07:42:12 +0800 CST
  • 3

这是在最近的一份关于 Debian Linux（虚拟）服务器的 Tripwire 报告中：

### Attr        Observed (what it is)         Expected (what it should be)
### =========== ============================= =============================
/dev/char/253:0
    md5 (sig1): 3cArKelJk8b0VTK4Q80.nV        3Z4Cv6zdER0tKfg3lDqPM3

首先，什么是/dev/char/253:0？其次，我应该担心它改变了吗？

更新。我的一位同事说，这可能会在服务器重启时发生，因为我前一天重启了服务器，这可能是触发 Tripwire 警报的原因。

linux tripwire device
Martin Hope
Slartibartfast
Asked: 2009-06-03 15:20:50 +0800 CST
  • 6

我在 debian 服务器上设置了tripwire，默认策略有一些奇怪的设置。

#
# Critical devices
#
(
  rulename = "Devices & Kernel information",
  severity = $(SIG_HI),
)
{
    /dev            -> $(Device) ;
#   /proc           -> $(Device) ;
}

/proc非常不稳定，所以我已经将它注释掉了，但我想我应该把它的一些内容明确地放在这里。我有一些想法，但我会就这件事征求意见。

另一件事是/var/log：

#
# These files change every time the system boots
#
(
  rulename = "System boot changes",
  severity = $(SIG_HI)
)
{
    /var/lock               -> $(SEC_CONFIG) ;
    /var/run                -> $(SEC_CONFIG) ; # daemon PIDs
#   /var/log                -> $(SEC_CONFIG) ;
}

再次太不稳定和太多误报。我应该明确监视它的某些指定部分吗？其余的/var是$(SIG_MED)and $(SEC_INVARIANT)，这听起来也很合理/var/log。

linux security tripwire