1|2|3Tripwireの定期的な実行Tripwireを実際の運用で利用する場合、次の手順を日々行う必要がある。整合性のチェックデータベースの更新(必要に応じて)ポリシーの更新(必要に応じて)このうち、1はcron等で定期的に実行すればよい。残りの2、3については、更新の必要性が生じたら、その都度管理者が手動で行うことになる。c)を定期的に実行する。--email-report)でメール送信を行う。メールは、ポリシーファイルのemailto属性で指定したあて先に送信される。crontabで確認してほしい。この場合、管理者が変更点のあった内容を1つずつチェックし、悪意的な改ざんではないことを確認する必要がある。これも管理者が手動で行う必要がある。Tripwire運用上の注意点テンプレートファイルの削除Tripwireの設定ファイル(tw.cfg)やポリシーファイル(tw.pol)の基となったテンプレートファイル(twcfg.txtやtwpol.txt)は、Tripwireの設定やポリシーの変更を終えたら削除するか管理者(root)のみが参照可能な状態にしておくこと。Tripwireの運用上必要となるのはtw.cfgやtw.polで、これらは暗号化・署名されており誰もが内容を見ることはできないが、クリアテキスト(平文)のファイルが存在し、それを誰もが読めるというのはセキュリティ上あまり好ましくない。--print-polfile)等のコマンドをその都度実行し、暗号化・署名されたファイルからクリアテキストファイルを出力すればよい。ファイルに出力プロセスの優先順位を変更するTripwireによる整合性チェックを実行すると、ほかのアプリケーション同様、CPUやメモリなどの資源を消費することになる。Tripwireの場合、root権限(管理者特権)で実行されるため、ほかの一般ユーザーよりも優先的にそれらの資源が分け与えられる。Tripwireの整合性チェックを一度実行すると、完了までは数分を要するため、その間はほかのアプリケーションのパフォーマンスに影響を及ぼす可能性がある。稼働中のサービスに極力影響を与えないように、利用者の少ない時間帯を見計らって実行するという手も考えられるが、基幹サーバの中には24時間フル稼働するものもあるだろうから、そういったケースを踏まえ、Tripwireの資源占有をできるだけ抑えるようにする。・niceコマンドを使うniceコマンドの書式は、次のとおりとなる。実行プログラムniceコマンドの書式-nオプションに加算する優先度の数値を指定することで、実行するプロセスの優先順位を調整できる。指定可能な優先度はUNIXの種類によって異なり、Linuxの場合-20から19まで、BSD系UNIXの場合-20から20までが指定でき、いずれも値が大きいほど優先度が低くなる。Linuxの場合は、-20が最も高く、19が最も低い。-nオプションが指定されていない場合、10が加算される。Tripwireの整合性チェックのプロセスの優先順位を下げたい場合は、以下のとおり実行する。10で、優先度を10にまで引き下げている。指定したとおりに適用されているかを確認するには、psやtopコマンドを用いるとよい。以下では、topコマンドによるCPU占有率の移り変わりを示している。0)cc1plusプロセスの実行により、CPU占有率が5.1%にまで抑制されているのが分かる。連載の終わりに1年以上続いた連載も今回で最終回となる。本稿では、現行のUNIXサーバへの影響をなるべく抑えつつセキュリティを向上させる方法をいくつか紹介した。本稿で説明した内容が、読者の環境に必ずしもマッチしているとは思わないが、やるべきことのポイントは一通り押さえたつもりだ。止められないUNIXサーバを運用しつつセキュリティを維持させることはなかなか難しいが、サーバの管理を任された以上、管理者は責任を持ってサーバを安全に維持し続ける努力をしなければならない。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。