Dateiveränderungen aufzeichnen und , Ordner prüfen etc.

[Flex6]

gibts unter FreeBSD ein Prog was Veränderungen an der Ordnerstruktur oder Rechte aufzeichnet und gegbenfalls auch meldet, z.B Einbruch ins System mit Manipulierung von Dateien

 

[0815Chaot]

Allgemeines Stichwort: Intrusion Detection System.
Beispiel: security/tripwire.

 

[Flex6]

tripwire ist ziemlich kompliziert da ich ja das ganze System aufnehmen müßte, mehr was einfaches wo dasteht user xy datei a gelöscht oder so

 

[0815Chaot]

Also deswegen ist tripwire doch nicht kompliziert. tripwire kann nämlich auch einzelne Verzeichnisse/Dateien auf Änderungen überwachen.

Etwas ganz anderes macht die Sache kompliziert. Du hast jetzt nämlich noch eine ganz neue Anforderung eingebracht, die in deinem Ausgangpost nicht stand und die ein IDS üblicherweise gar nicht umsetzen kann: Du willst u.a. wissen, welcher Benutzer eine Datei gelöscht hat. Dazu brauchst du auf jeden Fall zusätzliche Funktionalität im Kernel, denn ein Userland-Programm bekommt nicht raus, welcher Benutzer den Kernel auffordert, eine Datei zu löschen. Aber für das MAC-Framework gibt es AFAIK eine "Dateisystem-Firewall" (die ich mir bisher noch nicht näher angesehen habe), vielleicht gibt es dort eine entsprechende Möglichkeit, bestimmte Aktionen auf dem Dateisystem mitzuloggen.

Wenn du allerdings nur solche Verzeichnisse/Dateien überwachen willst, die nur von einem bestimmten Benutzer beschrieben werden können (Beispiel: /bin ist nur für root beschreibbar), dann reicht dir auch tripwire. Tritt eine Veränderung auf, dann kommt ja nur ein bestimmter Benutzer dafür infrage.