ステップバイステップガイド:EPELリポジトリを使ってCentOS/RHELにTripwire IDSをインストールする方法

Tripwireは、ファイルシステムに対する不正な変更を検出するためにシステム上で動作する、広く利用されているLinux向け侵入検知システム(IDS)です。サーバーのセキュリティ維持において、重要なファイルや設定の改ざんをいち早く発見できる強力なツールです。

CentOSやRHELの公式リポジトリにはTripwireが含まれていませんが、EPELリポジトリを利用することで簡単にインストールできます。

1. EPELリポジトリのインストール

まず、以下のコマンドを実行して、CentOS/RHELシステムにEPELリポジトリをインストールします。

# yum install epel-release

2. システムのアップデート

EPELリポジトリのインストール後、以下のコマンドでシステムを最新の状態に更新しておきましょう。

# yum update

3. Tripwire IDSのインストール

アップデートが完了したら、次のコマンドでTripwire IDSをインストールします。

# yum install tripwire

Ubuntu/Debianにインストールする場合

幸い、UbuntuやDebianではTripwireが標準リポジトリに含まれているため、以下のコマンドだけでインストールできます。

$ sudo apt update
$ sudo apt install tripwire

Tripwireキーの作成

Ubuntu/Debianでは、インストール中にサイトキーとローカルキーのパスフレーズ入力および確認を求められます。これらのキーは、Tripwireが自身の設定ファイルを保護するために使用されます。

一方、CentOS/RHELでは、以下のコマンドを実行してTripwireのキーを作成し、サイトキーとローカルキーそれぞれにパスフレーズを設定する必要があります。

# tripwire-setup-keyfiles

Tripwireデータベースの初期化

システムの検証を行うためには、次のコマンドでTripwireデータベースを初期化します。データベースがまだ初期化されていない段階では、大量の誤検出(false positive)警告が表示される点に注意してください。

# tripwire --init

整合性チェックの実行とレポートの確認

最後に、設定内容を確認するためにTripwireのシステムレポートを生成しましょう。チェックコマンドのすべてのオプションを一覧表示したい場合は、--helpスイッチを使用します。

# tripwire --check --help
# tripwire --check

チェックコマンドの実行が完了したら、/var/lib/tripwire/report/ディレクトリ内にある拡張子.twrのレポートファイルを、お好みのテキストエディタで開いて内容を確認します。ただし、その前にテキスト形式へ変換しておく必要があります。

# twprint --print-report --twrfile /var/lib/tripwire/report/tecmint-20170727-235255.twr > report.txt
# vi report.txt

まとめ

以上で、LinuxサーバーへのTripwireのインストールは完了です。これでTripwire IDSを自由に設定・運用できるようになったはずです。定期的な整合性チェックを自動化(Cronなどでスケジュール)すれば、ファイル改ざんの早期検知につながり、サーバーセキュリティの強化に大きく役立ちます。

本チュートリアルは、経験豊富なLinuxシステム管理者のチームによって、高い品質基準を満たすように作成されています。