CommentsTweetPocketファイルの改ざん検知といえばTripwireやAIDEが有名だが、これらの場合リアルタイム(オンアクセス)での検知が行えない(厳密にはTripwireの場合Enterpriseプランなら可能)。OSSECであればリアルタイムでの検知が行えるようなので、今回はその設定を行う。OSSECについては、事前にこちらの内容でサーバ・エージェント方式でのインストールが完了している状態とする。設定自体は簡単で、対象のOSSECサーバの設定ファイル(/var/ossec/etc/ossec.conf)で、「<syscheck><directories>」に以下のように「realtime=”yes”」を追記してやる。対象ディレクトリを増やす場合は、「<directories>」にカンマ区切りで記述してやればよい。無視するファイルやディレクトリについては、「<ignore>」で指定してやる。Links変更完了後、OSSECの再起動を行う。started.」と表示されてからリアルタイムでのファイル監視が始まる。プロセス起動時のスキャンが行われてからリアルタイムファイル監視が始まるので、ファイル数が多かったりすると相応に時間がかかるので注意。ファイルの変更については、初期状態では「/var/ossec/logs/alerts/YYYY/Month/ossec-alerts-XX.log」に出力される。blacknonインフラエンジニア(...のつもり)。仕事で使うならクライアントはWindowsよりはUNIXの方が好き。Commentコメントをキャンセルメールアドレスが公開されることはありません。