En comparant les manifestes au fil du temps, vous pouvez localiser les fichiers endommagés ou inhabituels, détecter les violations de sécurité et résoudre les problèmes de performances sur un système.
Avant de commencer
Vous devez prendre le rôle root. Pour plus d'informations, reportez-vous à la section A l’aide de vos droits administratifs attribués du manuel Sécurisation des utilisateurs et des processus dans Oracle Solaris 11.2 .
# bart create -R /etc > control-manifest
Pour obtenir un exemple, reportez-vous à l'Step 3 in Création d'un manifeste de contrôle.
# bart create -R /etc > test-manifest
# mv test-manifest /var/adm/log/bartlogs
Utilisez les mêmes options de ligne de commande et le même fichier de règles pour comparer les manifestes qui vous avez utilisés pour les créer.
# bart compare options control-manifest test-manifest > bart-report
Cet exemple illustre le suivi des modifications dans le répertoire /etc au fil du temps. Ce type de comparaison vous permet de localiser sur le système les fichiers importants qui ont été compromis.
Créez un manifeste de contrôle.
# cd /var/adm/logs/manifests # bart create -R /etc > system1.control.090713 ! Version 1.1 ! HASH SHA256 ! Saturday, September 07, 2013 (11:11:17) # Format: #fname D size mode acl dirmtime uid gid #fname P size mode acl mtime uid gid #fname S size mode acl mtime uid gid #fname F size mode acl mtime uid gid contents #fname L size mode acl lnmtime uid gid dest #fname B size mode acl mtime uid gid devnode #fname C size mode acl mtime uid gid devnode /.cpr_config F 2236 100644 owner@:read_data/write_data/append_data/read_xattr/wr ite_xattr/read_attributes/write_attributes/read_acl/write_acl/write_owner/synchr onize:allow,group@:read_data/read_xattr/read_attributes/read_acl/synchronize:all ow,everyone@:read_data/read_xattr/read_attributes/read_acl/synchronize:allow 4e271c59 0 0 3ebc418eb5be3729ffe7e54053be2d33ee884205502c81ae9689cd8cca5b0090 /.login F 1429 100644 owner@:read_data/write_data/append_data/read_xattr/write_x attr/read_attributes/write_attributes/read_acl/write_acl/write_owner/synchronize :allow,group@:read_data/read_xattr/read_attributes/read_acl/synchronize:allow,ev eryone@:read_data/read_xattr/read_attributes/read_acl/synchronize:allow 4bf9d6d7 0 3 ff6251a473a53de68ce8b4036d0f569838cff107caf1dd9fd04701c48f09242e . . .
Plus tard, créez un manifeste test en utilisant les mêmes options de ligne de commande.
# bart create -R /etc > system1.test.101013 Version 1.1 ! HASH SHA256 ! Monday, October 10, 2013 (10:10:17) # Format: #fname D size mode acl dirmtime uid gid #fname P size mode acl mtime uid gid #fname S size mode acl mtime uid gid #fname F size mode acl mtime uid gid contents #fname L size mode acl lnmtime uid gid dest #fname B size mode acl mtime uid gid devnode #fname C size mode acl mtime uid gid devnode /.cpr_config F 2236 100644 owner@:read_data/write_data/append_data/read_xattr/wr ite_xattr/read_attributes/write_attributes/read_acl/write_acl/write_owner/synchr onize:allow,group@:read_data/read_xattr/read_attributes/read_acl/synchronize:all ow,everyone@:read_data/read_xattr/read_attributes/read_acl/synchronize:allow 4e271c59 0 0 3ebc418eb5be3729ffe7e54053be2d33ee884205502c81ae9689cd8cca5b0090 . . .
Comparez les manifestes.
# bart compare system1.control.090713 system1.test.101013 /security/audit_class mtime 4f272f59
La sortie indique que le temps de modification sur le fichier audit_class a changé depuis que le manifeste de contrôle a été créé. Si cette modification est inattendue, vous pouvez effectuer une analyse plus approfondie.