![无需更新数据库即可减少 Tripwire 违规总次数](https://linux22.com/image/1473690/%E6%97%A0%E9%9C%80%E6%9B%B4%E6%96%B0%E6%95%B0%E6%8D%AE%E5%BA%93%E5%8D%B3%E5%8F%AF%E5%87%8F%E5%B0%91%20Tripwire%20%E8%BF%9D%E8%A7%84%E6%80%BB%E6%AC%A1%E2%80%8B%E2%80%8B%E6%95%B0.png)
我们正在使用 Tripwire 监视 Ubuntu 服务器。每天都会向管理员发送一份报告。报告中会列出预期的违规行为,例如日志文件的添加/删除/修改。报告末尾会显示违规总数。即使数据库尚未更新,总违规次数是否可能逐日减少?例如,星期一我们有 90 次违规,而星期二,在没有更新数据库的情况下,违规次数下降到 83 次。仔细查看后发现,星期一报告中显示为已修改的一些文件在星期二报告中没有显示,在已删除的文件中也没有显示。我们应该担心吗?
答案1
可以吗?当然可以。
根据类似产品(AIDE、Integrit),对于检查的内容有一些可配置性。(我使用过这些产品,它们的配置文件与 Tripwire 类似,因此它们的操作方式可能类似)。如果不检查日期,并且已检查的更改被还原,则计数可能会下降。
例如,如果检查了权限,有一天某个文件被切换为“只读”,则可能会将其标记为更改。如果这给最终用户带来了问题,并引发了投诉,则更改可能已被恢复。下一份报告将不会注意到权限的更改。
我并不指望这种情况会发生太多。如果真的发生了,那可能只是少数更新。事实上,您报告的变更只有 90 个中的 7 个。这似乎在普遍可信的范围内。
现在,关于这是否确实是您遇到的情况,如果没有更多详细信息(例如您的配置是什么,以及报告了哪些违规行为),我们可能无法回答。共享此类详细信息可能会或可能不会涉及共享不应共享的信息。其中一些可能取决于信息的敏感程度。但是,如果您想要更精确的详细信息,则可能需要这样做。