系统管理指南：安全性服务

如何比较同一系统在一段时间内的清单

当您要监视同一系统在一段时间内的文件层更改时，请使用此过程。此类清单可以帮助找到损坏或异常的文件，检测安全性破坏，或对系统的性能问题进行疑难解答。

承担主管理员角色，或成为超级用户。

主管理员角色拥有主管理员配置文件。要创建角色并将角色指定给用户，请参见《系统管理指南：基本管理》中的第 2 章 “使用 Solaris Management Console（任务）”。

安装 Solaris 软件之后，创建系统上要监视的文件的控制清单。
# bart create -R /etc > control-manifest

在每次需要监视系统更改时创建一个在准备方式上与控制清单完全相同的测试清单。
# bart create -R /etc > test-manifest

将控制清单与测试清单进行比较。
# bart compare options control-manifest test-manifest > bart-report
-r

此比较的 rules 文件的名称。将 -r 选项和 – 一起使用意味着从标准输入中读取指令。

-i

允许用户从命令行设置全局 IGNORE 指令。

-p

生成用于进行程序分析的标准非本地化输出的程序模式。

control-manifest

控制系统的 bart create 命令输出。

test-manifest

测试系统的 bart create 命令输出。

检查 BART 报告中的异常情况。

示例 5–5 比较同一系统在一段时间内的清单

此示例说明了如何监视两个时间点之间 /etc 目录中发生的更改。此类比较使您可以迅速确定系统上的重要文件是否受到威胁。

创建控制清单。

# bart create -R /etc > system1.control.121203

! Version 1.0

! Friday, December 12, 2003 (08:34:51)

# Format:

#fname D size mode acl dirmtime uid gid

#fname P size mode acl mtime uid gid

#fname S size mode acl mtime uid gid

#fname F size mode acl mtime uid gid contents

#fname L size mode acl lnmtime uid gid dest

#fname B size mode acl mtime uid gid devnode

#fname C size mode acl mtime uid gid devnode

/ D 4096 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3fd9dfb4 0 3

/.cpr_config F 2236 100644 user::rw-,group::r--,mask:r--,other:r--

3fd9991f 0 0

67cfa2c830b4ce3e112f38c5e33c56a2

/.group.lock F 0 100600 user::rw-,group::---,mask:---,other:--- 3f81f14d

0 1 d41

d8cd98f00b204e9800998ecf8427e

/.java D 512 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3f81dcb5 0 2

/.java/.systemPrefs D 512 40755 user::rwx,group::r-x,mask:r-x,

other:r-x 3f81dcb7

.

.

.

在需要监视 /etc 目录的更改时创建测试清单。

# bart create -R /etc > system1.test.121503

Version 1.0

! Monday, December 15, 2003 (08:35:28)

# Format:

#fname D size mode acl dirmtime uid gid

#fname P size mode acl mtime uid gid

#fname S size mode acl mtime uid gid

#fname F size mode acl mtime uid gid contents

#fname L size mode acl lnmtime uid gid dest

#fname B size mode acl mtime uid gid devnode

#fname C size mode acl mtime uid gid devnode

/ D 4096 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3fd9dfb4 0 3

/.cpr_config F 2236 100644 user::rw-,group::r--,mask:r--,other:r--

3fd9991f 0 0

67cfa2c830b4ce3e112f38c5e33c56a2

/.group.lock F 0 100600 user::rw-,group::---,mask:---,other:---

3f81f14d 0 1 d41d8cd98f00b204e9800998ecf8427e

/.java D 512 40755 user::rwx,group::r-x,mask:r-x,other:r-x 3f81dcb5 0 2

/.java/.systemPrefs D 512 40755 user::rwx,group::r-x,mask:r-x,

other:r-x 3f81dcb70 2

/.java/.systemPrefs/.system.lock F 0 100644 user::rw-,group::r--

,mask:r--,other:

r-- 3f81dcb5 0 2 d41d8cd98f00b204e9800998ecf8427e

/.java/.systemPrefs/.systemRootModFile F 0 100644 user::rw-,

group::r--,mask:r--,

other:r-- 3f81dd0b 0 2 d41d8cd98f00b204e9800998ecf8427e

.

.

.

将控制清单与测试清单进行比较。

# bart compare system1.control.121203 system1.test.121503

/vfstab:

  mode  control:100644  test:100777

  acl  control:user::rw-,group::r--,mask:r--,other:r--  test:user::rwx,

group::rwx,mask:rwx,other:rwx

上面的输出指示 vfstab 文件的权限自创建了控制清单以来已发生更改。此报告可以用于检查拥有权、日期、内容或任何其他文件属性是否已发生变化。具备此类信息有助于跟踪可能的文件篡改者和更改可能发生的时间。