'tripwire'에 해당되는 글 3건

  1. 2009.08.26 리눅스 보안 - 공격, 해킹 관련 보안 도구 및 유틸
  2. 2009.04.23 Fcheck 를 이용한 파일 시스템 감시
  3. 2009.02.27 시스템 침입탐지 및 무결성 도구 (1)
2009.08.26 20:40

리눅스 보안 - 공격, 해킹 관련 보안 도구 및 유틸

서버취약점 점검 툴

         Cops (Computerizes Oracle and Password System) : 대표적인 보안점검 도구

스캐너관련 툴

         SAINT : 관리자용 네트워크 진단도구
         PortSentry : 대표적인 스캐닝방어도구이며 가장 많이사용하는 보안도구
         nmap : 서버의 취약점을 점검해주는 보안도구 (해킹시 상대 웹서버 포트 스캔용으로 사용됨)
         ISS (Internet Security Scanner) : 상업적인 스캐닝도구
         Nessus : 서버내의 취약점(헛점)들을 점검해주는 도구
         CGI scanner : 웹서버의 취약점을 스캐닝하는 도구 (cgi 스크립트 스캐닝)
         Courtney : per로 되어 있는 SATAN, SAINT 검색기
         IcmpInfo  : DOS공격등을 하는 ICMP 프로토콜의 감시도구
         scan-detector : UDP 스캔검색
         klaxon : 포트스캔검색도구
         SuperScan : 윈도용 포트스캔(Port Scan)의 대표도구
         Teleport Pro : 웹사이트(홈페이지) 스캔전용 툴(Download)

패스워드 훔쳐보는 크랙도구  

         Crack : 대표적인 패스워드 크랙도구
         WWWcrack : 패스워드크랙의 대표적인 툴        

침입발견도구들

         chkwtmp : wtmp파일에서 삭제된 부분을 검사하는 도구
         tcplogd : Stealth scan을 발경할 수 있는 침입발견도구
         Snort : 대표적인 침입발견도구
         HostSentry : 허용되지않은 로그인이나 침입발견 도구
         Shadow : Stealth Scan 발견툴
         MOM : 분산침입 발견도구
         AAFID : MOM과 같은 분산침입 발견도구

로그감시도구들

         SWATCH (Simple Watch) : 실시간 로그인감시 툴
         Watcher : 시스템로그와 데몬들의 실행상태를 감시하는 툴
         PingLogger : ping이 사용하는 프로토콜인 ICMP관련 로그를 감시하는 툴
         Analog : SWATCH와 함께 잘 알려진 로그감시 툴

방화벽 도구들

         Tcp Wrapper : 가장 대표적인 방화벽도구 tcpd
         ipfwadm : 방화벽 도구, 일명 패킷필터링 도구
         ipchains : 리눅스에 기본으로 설치되는 강력한 방화벽 도구

스니퍼관련 도구들

         linsniffer : 대표적인 스니핑도구
         linux_sniffer : 리눅스에서 사용가능한 스니핑도구
         hunt : 세션스누핑이 가능한 도구
         sniffit : 설정기능이 있는 스니핑도구
         ifconfig : NIC(랜카드)설정 및 네트워크상태 확인도구
         NEPED (Network Promiscuous Ethernet Detector) : 네트웍카드 스니핑도구

스푸핑 도구들

         mendax : IP Spoofing 도구
         seq_number.c
         ipspoof : 잘 알려진 스푸팅 도구
         snoof : DNS 스푸핑 도구
         ERECT : DNS 스푸핑 도구
         jizz : DNS 스푸팅 도구
         spoofscan : Rootshell이 만든 스푸팅 도구
         pmap_sett/unset : 패트릭 길버트가 만든 스푸핑 도구
         ICQ File transfer spoofer : ICQ 스푸핑 도구
         syslog-poison.c : 514번 포트를 사용하는 스푸핑 도구
         ICQ Hijaak : Wolveesbane이 만든 스푸핑 도구
         icqspoof.c : Seth McGann이 만든 스푸핑 도구
         RIP Spoofer : Kit Knox가 만든 스푸핑 도구
         syslog_deluxe : Yuri Volobuev가 만든 스푸핑 도구
         spoofkey : Greg Miller가 만든 스푸핑도구
         sirc4 : IRC와 Telnet 스푸핑 도구

파일무결성 검사툴

         Tripwire : 가장 대표적인 파일무결성 검사툴
         TAMU : The Texas AMU로서 파일무결성 검사툴
         trojan.pl : perl로 제작되어 이식성이 강한 파일무결성 검사툴

기타 크랙 툴

        서버크랙툴 : http://www.psygonx.de/Cracks/ServerCrack.zip
        FTP크랙툴 : http://www.psygonx.de/Cracks/FTPCrack.zip

참고도서 - 리눅스 서버 관리 실무바이블


출처 : www.twelo.com

Trackback 1 Comment 0
2009.04.23 15:57

Fcheck 를 이용한 파일 시스템 감시

1.목적
Fcheck 툴을 이용해 파일 시스템의 상태를 체크함으로써 간단히 IDS기능을 구현한다.
(파일 시스템의 무결성을 감시 한다.)

1.실행
크래커서 서버에 침투해서 특정한 파일을 변조 하거나 추가하여 백도어 또는 시스템에 악영향을 주는
파일을 숨겨 놓았다면, 서버 관리자는 상당히 곤욕 스러울 것이다. 시스템을 새로 설치하기엔 부담이
너무 크고 그렇다고 해당 백도어 파일을 쉽게 찾아내는 것은 쉽지 않은 일이다.
(또 이러한 경우가 아니더라도 사용자 혹은 관리자의 실수로 잘못 수정된 파일이 생길 수도 있으며,
이로인해 서비스 중인 시스템에 악영햐을 미칠 수 도 있다.)

이 때를 대비하여 우리는 파일시스템을 체크하는 툴들을 사용하는데 대표적인 예로 Tripwire 라는 툴이 있다.
하지만 이 툴은 설정도 약간€ 복잡하고 사용하기 번거로운 면도 없지 않아 있다.
여기서 소개하려는 Fcheck 라는 툴은 Tripwire 에 비해 설정도 간단하면서도 막강한 기능을 가지고 있다.

Fcheck라는 툴을 이용하여 간단한 파일 시스템 감시 시스템을 구축하여 보자.

Fcheck는 사용자가 설정한 디렉토리, 파일의 정보를 데이터베이스에 저장하고 있다가 정해진 시간마다
파일 시스템을 체크하여 파일 시스템의 무결성(파일 변조)을 체크하는 프로그램이다.
Fcheck 는 아래 링크에서 다운 받을 수 있다.
http://www.geocities.com/fcheck2000/download.html 현재 2.07.59 버전 까지 릴리즈 되어 있다.

해당 파일을 다운로드 한뒤에 압축을 풀고 설정화일의 변경만으로 바로 사용할 수 있다.


[root@vellev root]# tar zxvf FCheck_2.07.59.tar.gz
fcheck/
fcheck/license
fcheck/fcheck
fcheck/fcheck.cfg
fcheck/README
fcheck/install
[root@vellev root]#

설정할 화일은 실행 화일은 fcheck 와 설정화일은 fcheck.cfg 이다.
fcheck.cfg 에서는 무결성을 검사할 디렉토리와 타임존 그리고 무결성 데이터 베이스가 존재할 경로를 설정한다.
설정은 이와 같이 할 수 있다.
vi fcheck.cgf

#fcheck.cfg-
# 무결성을 모니터링할 디렉토리
Directory = /bin/
Directory = /sbin/
Directory = /usr/sbin/
Directory = /usr/bin/

# 무결성 데이터베이스를 저장할 위치
Database = /root/fcheck/data.dbf

#타임존 설정
TimeZone = GMT-9

fcheck 실행화일 에서는 fcheck.cfg 화일의 경로만을 설정해 주면 된다.
화일의 약 212 라인에 유저가 수정할 수 있는 영역이 있다.

#vi fcheck
213 #####################################################################
214 # #
215 # User modifiable variable definitions: #
216 # #
217 #####################################################################
218 # This should be passed through the command line, but hard coding still works
219 $config="/root/fcheck/fcheck.cfg";


위에서 처럼 fcheck.cfg 가 위치할 디렉토리를 설정하면 된다.

설정후 fcheck -ac 를 실행함으로서 무결성 디비를 생성하게 된다.

[root@vellev fcheck]# ./fcheck -ac
[root@vellev fcheck]# ls -al
합계 144
drwxr-xr-x 3 root root 102 2월 22 09:33 .
drwxr-x--- 32 root root 4096 2월 22 09:33 ..
-r--r--r-- 1 root root 13582 3월 13 2001 README
-rw------- 1 root root 10300133 2월 22 09:34 data.dbf
-r-xr-xr-x 1 root root 72543 2월 22 09:28 fcheck
-r--r--r-- 1 root root 4138 2월 22 09:33 fcheck.cfg
-r--r--r-- 1 root root 12873 3월 13 2001 install
-r--r--r-- 1 root root 17982 3월 13 2001 license
drwxr-xr-x 2 root root 6 2월 22 09:32 log
[root@vellev fcheck]#

이제 테스트를 해보도록 하겠다. 현재 감시중인 /usr/ 디렉토리에 화일을 생성하고 검사해 보도록 하겠다.

[root@vellev fcheck]# touch /usr/backboor
[root@vellev fcheck]# ./fcheck -a

PROGRESS: validating integrity of Files
STATUS:
WARNING: [vellev.com] /root/fcheck/data.dbf
[Sizes: 0 - 10300133, Times: Feb 22 09:39 2005 - Feb 22 09:40 2005]

PROGRESS: validating integrity of /usr/
STATUS:
ADDITION: [vellev.com] /usr/backboor
Inode Permissons Size Created On
414515 -rw-r--r-- 0 Feb 22 09:41 2005

PROGRESS: validating integrity of /usr/bin/
STATUS:passed...


PROGRESS: validating integrity of /sbin/
STATUS:passed...


PROGRESS: validating integrity of /usr/sbin/
STATUS:passed...

[root@vellev fcheck]#


/usr/ 디렉토리에 backdoor 라는 파일이 추가된것을 확인 할 수 있다.

이와 같은 방법으로 각 핵심 파일시스템이나 특정 프로그램의 파일시스템의 무결성을 체크할 수 있다.
주의해야 할점은 정산적인 시스템의 변경이나 패키지 추가/변경 작업 후에는 반듯이 무결성 데이터베이스를
업데이트(fcheck -ac) 해주어야 한다.

이를 응용하여 cron 같은 데몬을 통해서 주기적으로 fcheck 를 실행하고 이 내용을 메일로 전송 받거나 외부
전송을 통해서 해당 시스템의 파일시스템 무결성을 체크 할 수 있을 것이다



fcheck는 Tripwire 와 동일한 파일 무결성 체크 툴입니다. 기존 시스템에 대한 정보를 데이터베이스로
가지고 있다가 변화가 생기면 비교를 통해 변화 내용을 관리자에게 알려주는 툴입니다.

tripwire에 비해 자세한 정보를 알려주지는 않지만 사용법이 간결하고, 출력정보가
복잡하지 않아서 편리하게 사용하실 수 있습니다.

http:www.geocities.com/fcheck2000

fcheck 홈 페이지에서 다운로드 후에 설치를 합니다. fcheck 는 펄로 만들어진 스크립트라서
컴파일이나 인스톨 과정은 거치치 않는 대신에 몇 가지 설정 파일을 수정하셔야 합니다.

/usr/local/fcheck 디렉토리에 설치하쟝.
압축을 해제하고 해당 디렉토리로 이동하면 달랑 5개 파일 뿐이지요.


[root@gyn fcheck]# ll
합계 136
-r--r--r-- 1 root root 13582 3월 13 2001 README
-r-xr-xr-x 1 root root 72507 3월 13 2001 fcheck
-r--r--r-- 1 root root 4168 3월 13 2001 fcheck.cfg
-r--r--r-- 1 root root 12873 3월 13 2001 install
-r--r--r-- 1 root root 17982 3월 13 2001 license

먼저 fcheck 파일을 열어서 설정파일의 위치를 수정해줍니다.

###########################################################
#
# User modifiable variable definitions:
#
###########################################################
# This should be passed through the command line, but hard coding still works
$config="/usr/local/admtools/conf/fcheck.cfg";

$config="/usr/local/fcheck/fcheck.cfg";
<-- 설치된 디렉토리로 변경.

#$config="C:/Work/fcheck/fcheck.cfg";

그 후에는 환경설정파일을 수정합니다.


[root@gyn fcheck]# vi fcheck.cfg

Directory = /etc
Directory = /bin
Directory = /boot
Directory = /dev
Directory = /etc
Directory = /home
Directory = /lib
Directory = /root
Directory = /usr/bin
Directory = /usr/local/bin
Directory = /usr/local/sbin
# 위와 같이 파일 무결성을 체크할 디렉토리를 지정해줍니다.
# 중요도가 높은 디렉토를 기술합니다.

#Exclusion = /tmp/dir/afile
#Exclusion = /usr/local/admtools/data/
#Exclusion = /usr/local/admtools/logs/
#Exclusion 은 자주변경되는 파일이나 중요도가 떨어지는 디렉토리처럼 무결성 체크에서
#제외할 파일 또는 디렉토리를 선언합니다.


DataBase = /usr/local/fcheck/data/data.dbf
#DataBase 는 파일정보를 저장할 파일을 지정합니다. 하위 디렉토리는 만들어 줍니다.

TimeZone = GMT-9
#기준 시간을 적용합니다.

#File = /usr/local/admtools/logs/sol.dbf
#file 설정은 주석으로 처리합니다.

나머지 설정들은 디폴트 값으로 두고, data 디렉토리를 만든후에 무결성 체크를 실행 합니다.


[root@gyn fcheck]# mkdir data
[root@gyn fcheck]# ll
합계 140
-r--r--r-- 1 root root 13582 3월 13 2001 README
drwxr-xr-x 2 root root 4096 11월 21 18:15 data
-r-xr-xr-x 1 root root 72500 11월 21 16:35 fcheck
-r--r--r-- 1 root root 4314 11월 21 18:15 fcheck.cfg
-r--r--r-- 1 root root 12873 3월 13 2001 install
-r--r--r-- 1 root root 17982 3월 13 2001 license


[root@gyn fcheck]# ./fcheck -ac


fcheck -ac 명령을 실행하고 나며 data 디렉토리 내의 환경설정 파일에서 지정한 디렉토리의 정보를
저장한 data.dbf 파일이 생성됩니다.


[root@gyn fcheck]# vi data/data.dbf

# - Host gyn.pe.kr
# - OS Linux 2.4.7-2
# - Database Creation Nov 21 18:17 2001
# - Uname Linux gyn.pe.kr 2.4.7-2 #1 Tue Aug 14 05:16:54 EDT 2001 i686 unknown
# - FCheck by Michael A. Gumienny
# - - - - -> BEGIN Directory /etc <- - - - -
228994!33152!0!1001896148!/etc/.pwd.lock!NOCRC
3581137!16877!4096!1001896739!/etc/CORBA!NOCRC
228986!33188!2434!1001896129!/etc/DIR_COLORS!NOCRC
3123321!16877!4096!1001896173!/etc/FreeWnn!NOCRC
229021!33188!81211!1001896200!/etc/Muttrc!NOCRC
277985!16877!4096!1001896939!/etc/X11!NOCRC
229002!33188!2561!1001896188!/etc/a2ps-site.cfg!NOCRC
229006!33188!15223!1001896188!/etc/a2ps.cfg!NOCRC
..중략..

일단 fcheck 를 한 번 실행한 후에 시스템에 변경사항이 생기면 변화를 체크해서 리포트를 출력하게
됩니다.
예제로 /home 에 111 이란 파일을 만든 후에 실행을 시키면 경고메세지를 보냅니다.


[root@gyn home]# touch 111
합계 12
-rw-r--r-- 1 root root 0 11월 21 18:28 111

drwx------ 4 backup backup 4096 11월 13 11:10 backup
drwx------ 6 data data 4096 11월 16 15:39 data
drwxr-xr-x 5 root root 4096 10월 25 11:41 members




[root@gyn fcheck]# ./fcheck -ad

PROGRESS: No individual files to validating
PROGRESS: validating integrity of /home
STATUS:
ADDITION: [gyn.pe.kr] /home/333
Inode Permissons Size Created On
2960394 -rw-r--r-- 0 Nov 21 18:28 2001

PROGRESS: validating integrity of /lib
STATUS:passed...

그런데 한가지 아쉬운 점은 하위 디렉토리의 변경은 정확하게 파악을 하지 못 하는게 좀 부족하다고
느끼는데 간편하게 쓰기엔 좋은 것 같습니다.
실행 세부 옵션은 다음과 같습니다.


-a automatic mode, 설정파일의 모든 디렉토리 검사.
-c 새로운 데이터 베이스 생성.
-d 디렉토리 하위 변경사항 체크.
-f 환경설정 파일 지정.
-i 생성시간 무시
-l 로그 파일에 변경된 내용 추가.
-r
-x
리포트 내용을 파일로 저장.




출처: http://user.oss.or.kr/lecture

Trackback 2 Comment 0
2009.02.27 14:07

시스템 침입탐지 및 무결성 도구

1. Tripwire ( http://www.tripwiresecurity.com )

Tripwire은 자신의 linux시스템을 외부의 크래커 공격과 내부의 악의적인 사용자의 공격으로부터 자신의 linux시스템을 지켜내는 마지노선과 같은 역할을 하는 프로그램이다. 자신의 시스템이 방화벽과 다른 보안수단으로 보안을 강화하고 있다고 하더라도 어느 순간 크래커나 내부사용자에 의해 시스템이 침투되어 질 수 있다. 침투한 크래커나 악의적인 내부사용자들은 다음을 위해 백도어를 만들어 놓거나, 시스템 파일을 변경해 놓거나, 아니면 지난번 야후나 아마존등 유명한 사이트을 공격할 때 사용되어진 DoS attack 프로그램등과 같은 악의적인 프로그램을 설치하여 크래커의 중간공격기지 역할을 하게 할 수도 있다.

- 관련글 : 보안프로그램 tripwire을 돌려보자

               리눅스 파일시스템의「무결성 점검하기」 

 

2. aide ( http://sourceforge.net/projects/aide )

"AIDE (Advanced Intrusion Detection Environment)", Tripwire(tm)를 대신할 수 있는 도구로 파일의 무결성을 검사하는데 사용한다. 메시지 다이제스트 알고리즘을 사용하여 파일이 변조되었는지를 점검할 수 있다.

- 관련글 : AIDE를 이용한 시스템 무결성 구축

 

3. claymore  ( http://linux.rice.edu/magic/claymore )

침입탐지 및 무결성 모니터링 도구로 크론테이블을 이용하여 주기적으로 파일시스템의 변조유무를 확인하고 변조되었을 경우 관리지에게 메일로 통보해 주는 기능이 있다.

- 관련글 : 원격 침입탐지 시스템 - Claymore

 

4. samhain (http://la-samhna.de/samhain )

시스템의 무결성을 점검하는 도구로 여러 시스템을 관리할 수 있는 수단을 제공한다. 각 각의 호스트에서 실행되는 모니터링 에이전트와 이러한 에이전트로부터 정보를 수집하는 중앙 로그서버로 구성된다.

- 관련글 : 파일 무결성 체크/IDS 툴-Samhain

 

5. slipwire http://packet.node.to , freshmeat.net/projects/slipwire.pl )

"slipwire.pl", 파일시스템의 무결성을 검사하는 도구로 파일의 SHA-1 hashes값을 비교하여 변경될 경우 사용자에게 경고하는 기능이 있다. 또한 파일 사이즈, uid, 화일 변경시간등도 검사한다.

- 관련글 :http://www.securitymap.net/stm/stm_system.html

 

6. Fcheck (http://www.geocities.com/fcheck2000 )

유닉스 파일시스템의 변조유무를 점검하기 위한 PERL script 도구로 syslog. console 등로 관리자에게 파일시스템 변화를 경보해 준다. "tripwire"와 비슷한 도구로 보다 설치 및 운영이 쉽다.

- 관련글 : Fcheck 를 이용한 호스트 무결성 점검

               간단하면서도 막강한 파일 무결성 체크 프로그램 Fcheck

 

7. TAMU ( ftp://net.tamu.edu/pub/security/TAMU/ )

택사스의 A&M대학에서 개발된 넘이다. 특성은 트로이를 찾는것 외에도 네트웍 모니터링 및 팻킷필터링등도 제공한다.

- 관련글 : IT보안해설서 유닉스 보안

 

8. ATP

Tripwire와 유사한 서비스를 제공한다.

 

9. Hobgoblin

파일 무결성과 시스템 무결성을 검사, COPS와 Tripwire 합쳐놓은 것과 유사, 프로그래밍 언어, 인터프리터 처럼 사용

- 관련내용 : Linux Security 



10. sXid ( http://www.phunnypharm.org/pub/sxid )

MD5 체크섬을 사용하여 suid, sgid파일을 추적 루트키트가 설치되어있는지 검사.
Cron작업형태로 수행 자동으로 파일을 추적 경고

- 관련글 : sXid 를 이용한 파일시스템 감시(퍼미션) 감시하기

               sxid - s(ug)id 파일검색 프로그램

 

참고 : SecurityMap, Google


Trackback 0 Comment 1
  1. 김종형 2017.03.17 10:49 신고 address edit & del reply

    제가 필요로 하던 정보라 요긴하게 활용하겠습니다.