Tiger ist ein Intrusion Detection und Audit Reporter Tool, welches einem Hilft, Sicherheitslöcher und sonstige System-Fehler einem Linux System aufzudecken.

Wer selber gerne Tiger installieren und ein paar Sample Alerts anschauen möchte, liest am besten weiter.

Installieren

Das Tool kann man unter Debian mit aptitude oder apt installieren.

aptitude update
aptitude install tiger

Tiger sollte nun installiert sein.

Konfigurieren

Jetzt können wir mit dem Konfigurieren beginnen. Konfiguration öffnen

vim /etc/tiger/tigerrc

Sucht nach “Mail_RCPT” und ändert die Mailaddresse, sofern die Audit Mails an eine andere Domain weitergeleitet werden soll. z.Bsp: [email protected]

Tiger_Mail_RCPT="[email protected]"

Den rest lassen wir mal auf Standard Werten. Das wäre es schon. Tiger macht nun jede Stunde ein Audit und meldet es via Email sobald er etwas verdächtiges festgestellt hat.

Sample Alert 1

Betreff: Tiger Auditing Report for lilith.hack2learn.org
Von: "Tiger automatic auditor at lilith.hack2learn.org" [email protected]>
Datum: Fr, 13.03.2009, 04:00
An: [email protected]
Priorität: Normal

# Checking listening processes
OLD: --WARN-- [lin003w] The process `(squid)' is listening on socket 25125 (UDP on
every interface) is run by proxy.
NEW: --WARN-- [lin003w] The process `(squid)' is listening on socket 23237 (UDP on
every interface) is run by proxy.

Diese Meldung besagt, das ein Dienst gestartet wurde, in diesem Fall ist es Squid, welcher auf den UDP Ports 25125 und 23237 horcht und der Prozesseigentümer Proxy ist. Dies Meldung tritt auf sobald ein Dienst neugestartet, reloaded oder gestart wird.

Sample Alert 2

Betreff: Tiger Auditing Report for lilith.hack2learn.org
Von: "Tiger automatic auditor at lilith.hack2learn.org" [email protected]>
Datum: Mo, 9.03.2009, 03:00
An: [email protected]
Priorität: Normal

# Performing check of `cron' entries...
NEW: --WARN-- [cron001w] cron entry for root does not use full pathname (nmap):
# Performing check of anonymous FTP...
# Checking printer configuration files...

Diese Meldung besteht aus mehreren durchgeführten System Checks. Hier überprüft Tiger die Cron Einträge (Scheduler unter Linux). Tiger hat festgestellt, dass der Cron Eintrag für nmap falsch ist! Es sollte der ganze Pfad zum Nmap Programm angegeben werden anstatt nur “nmap”.

Hier ein Beispiel wie es sein sollte:

#Nmap scan
5 11 * * sun /usr/bin/nmap --append_output -sU -sT lilith.hack2learn.org

Die anderen Meldungen zeigen nur was Tiger überprüft hat.

Hoffe dies hilft jemanden

Das könnte dich auch interessieren:

• Verdächtigen Netzwerkverkehr mit psad aufspüren
• Howto Apache2 mit Modsecurity 2.5.9 – Binary Package
• Howto offene Ports mit Nmap und Ossec aufspüren
• Warnung – H1Siri ist eine illegale Siri Portierung für das iPhone 4
• Prompt – Guter SSH Client für das iOS