Comment installer Tripwire IDS (Intrusion Detection System) sur Linux

Tripwire est un système de détection d’intrusion Linux (IDS) populaire qui s’exécute sur les systèmes afin de détecter si des modifications non autorisées du système de fichiers se sont produites au fil du temps.

Dans les distributions CentOS et RHEL, un fil-piège ne fait pas partie des dépôts officiels. Cependant, le paquet tripwire peut être installé via des dépôts Epel.

Pour commencer, installez d’abord les dépôts Epel dans CentOS et le système RHEL, en exécutant la commande ci-dessous.

# yum install epel-release

Après avoir installé les référentiels Epel, assurez-vous de mettre à jour le système à l’aide de la commande suivante.

# yum update

Une fois le processus de mise à jour terminé, installez le logiciel Tripwire IDS en exécutant la commande ci-dessous.

# yum install tripwire

Heureusement, Tripwire fait partie des dépôts par défaut d’Ubuntu et de Debian et peut être installé avec les commandes suivantes.

$ sudo apt update
sudo apt install tripwire

Sur Ubuntu et Debian, l’installation de tripwire sera invitée à choisir et à confirmer une clé de site et une phrase de passe de clé locale. Ces clés sont utilisées par tripwire pour sécuriser ses fichiers de configuration.

Sur CentOS et RHEL, vous devez créer des clés tripwire avec la commande ci-dessous et fournir une phrase de passe pour la clé de site et la clé locale.

# tripwire-setup-keyfiles

Afin de valider votre système, vous devez initialiser la base de données Tripwire avec la commande suivante. En raison du fait que la base de données n’a pas encore été initialisée, un fil-piège affichera un grand nombre d’avertissements de faux positifs.

# tripwire --init

Enfin, générez un rapport système de fil-piège afin de vérifier les configurations en lançant la commande ci-dessous. Utilisez --help switch pour lister toutes les options de commande tripwire check.

# tripwire --check --help
tripwire --check

Une fois la commande tripwire check terminée, examinez le rapport en ouvrant le fichier avec l’extension .twr à partir du répertoire /var/lib/tripwire/report/ avec votre commande d’éditeur de texte préférée, mais avant cela, vous devez convertir en fichier texte.

# twprint --print-report --twrfile /var/lib/tripwire/report/tecmint-20170727-235255.twr > report.txt
vi report.txt

Ça y est, vous avez installé avec succès Tripwire sur le serveur Linux. J’espère que vous pouvez maintenant configurer facilement votre Tripwire IDS.