変奏現実

公開用からブログサーバーをクローンする

virt-clone -o {公開用} -n {ブログ鯖} -f /var/lib/libvirt/images/{ブログ鯖}.qcow2
qemu-img convert -c -f qcow2 -O qcow2 /var/lib/libvirt/images/{ブログ鯖}{,.compress}.qcow2
rm -f /var/lib/libvirt/images/{ブログ鯖}.qcow2
mv /var/lib/libvirt/images/{ブログ鯖}.compress.qcow2 /var/lib/libvirt/images/{ブログ鯖}.qcow2

tripwireの調整

ホスト名を変えたので調整。

ローカルキーファイルをリネーム。

mv /etc/tripwire/{古いホスト名}-local.key /etc/tripwire/{新しいホスト名}-local.key

新しい環境の環境変数を使って、設定ファイルを再生成

twadmin --print-cfgfile > /etc/tripwire/twcfg.txt
twadmin -m F -c /etc/tripwire/tw.cfg -S /etc/tripwire/site.key /etc/tripwire/twcfg.txt
Please enter your site passphrase:
Wrote configuration file: /etc/tripwire/tw.cfg

データベースを作り直す。

tripwire -m i -s -c /etc/tripwire/tw.cfg
Please enter your local passphrase:

チェック。

tripwire --check
・・・
===============================================================================
Error Report:
===============================================================================
No Errors
・・・

/etc/tripwireにあるテキストファイルを消す。

rm -rf /etc/tripwire/*.txt

 <h3>Apatchインストール</h3> <pre>

yum -y install httpd php php-mbstring

設定（/etc/httpd/conf/httpd.conf）

色々（省略）

起動、自動実行

systemctl start httpd.service
systemctl enable httpd.service　

Postfixインストール

yum -y install postfix

設定（/etc/postfix/main.cf）

色々（省略）

ログインとメールで同じパスワードを使うので

yum -y install cyrus-sasl
systemctl start saslauthd
systemctl enable saslauthd

Maildir形式のメールボックスを作成

mkdir -p /etc/skel/Maildir/{new,cur,tmp}
chmod -R 700 /etc/skel/Maildir/

起動、自動実行

systemctl restart postfix
systemctl enable postfix

Dovecotインストール

yum -y install dovecot

設定ファイル（/etc/dovecot/conf.d/10-mail.conf）を修正

・・・省略・・・

起動、自動実行

systemctl start dovecot
systemctl enable dovecot

MariaDBインストール

yum -y install mariadb-server

設定ファイル（/etc/my.cnf.d/server.cnf）に追記

[mysqld]
character-set-server = utf8

起動、自動実行

systemctl enable mariadb.service
systemctl start mariadb.service

phpMyAdminインストール

yum -y install phpMyAdmin

設定ファイル（/etc/httpd/conf.d/）を修正

   <IfModule mod_authz_core.c>
     # Apache 2.4
     <RequireAny>
       Require ip 127.0.0.1 ←LANからも見える様にする
       Require ip ::1
     </RequireAny>
   </IfModule>

設定ファイル（/etc/phpMyAdmin/config.inc.php）を修正

$cfg['blowfish_secret'] = '' ←空だったら  mkpasswd -l 46 の結果を貼る

※mkpasswd が無かった yum -y install expect　でインスト。

wordpressインストール

リポジトリィにあるwordpressは英語版なので日本語の最新版を使う

wget https://ja.wordpress.org/latest-ja.zip
unzip -q latest-ja.zip
mv wordpress /var/www/wordpress

wordpressのデータベース設定ファイル（/root/wordpress.sql）を作る

/* rootのパスワードを設定 */
set password for root@localhost=password('{パスワード}');
/* wordpressのデータベースのユーザを作成。*/
insert into user set user="{ユーザ名}", password=password("{パスワード}"), host="localhost";
/* wordpressのデータベースを作成 */
create database {データベース名};
/* wordpressのデータベースに ユーザに権限を与える */
grant all on {データベース名}.* to {ユーザ名};
/* 最新に更新 */
FLUSH PRIVILEGES;

設定

cd /root
mysql -uroot -Dmysql -p{パスワード} < wordpress.sql

設定ファイル（/var/www/wordpress/wp-config-sample.php）の作成

cd /var/www/wordpress
cp wp-config-sample.php  wp-config.php

設定ファイル（/var/www/wordpress/wp-config-sample.php）の編集

define('DB_NAME', '作成したデータベース名を設定');
define('DB_USER', '作成したユーザ名を設定');
define('DB_PASSWORD', '作成したパスワードを設定');

define('AUTH_KEY',         'put your unique phrase here');
define('SECURE_AUTH_KEY',  'put your unique phrase here');
define('LOGGED_IN_KEY',    'put your unique phrase here');
define('NONCE_KEY',        'put your unique phrase here');
define('AUTH_SALT',        'put your unique phrase here');
define('SECURE_AUTH_SALT', 'put your unique phrase here');
define('LOGGED_IN_SALT',   'put your unique phrase here');
define('NONCE_SALT',       'put your unique phrase here');

は https://api.wordpress.org/secret-key/1.1/salt/　の結果を順に貼る

define('AUTH_KEY',         '＊＊＊＊＊＊＊＊＊＊＊＊＊＊');
define('SECURE_AUTH_KEY',  '＊＊＊＊＊＊＊＊＊＊＊＊＊＊');
define('LOGGED_IN_KEY',    '＊＊＊＊＊＊＊＊＊＊＊＊＊＊');
define('NONCE_KEY',        '＊＊＊＊＊＊＊＊＊＊＊＊＊＊');
define('AUTH_SALT',        '＊＊＊＊＊＊＊＊＊＊＊＊＊＊');
define('SECURE_AUTH_SALT', '＊＊＊＊＊＊＊＊＊＊＊＊＊＊');
define('LOGGED_IN_SALT',   '＊＊＊＊＊＊＊＊＊＊＊＊＊＊');
define('NONCE_SALT',       '＊＊＊＊＊＊＊＊＊＊＊＊＊＊');

設定ファイルの再読み込み

systemctl reload httpd.service

to be continue・・・

雛形から公開用のクローンを作る。

virt-clone -o CentOS7_2 -n {公開用} -f /var/lib/libvirt/images/{公開用}.qcow2

割り当て中 ‘{公開用}.qcow2’ | 20 GB 00:05
‘{公開用}’のクローニングに成功しました。

※{公開用}は任意のゲスト名を指定する。

/etc/libvirt/qemu/{公開用}.xmlの内容を確認する。

<channel type=’unix’>
<source mode=’bind’ path=’/var/lib/libvirt/qemu/channel/target/domain-CentOS7_2/org.qemu.guest_agent.0’/>

<target type=’virtio’ name=’org.qemu.guest_agent.0’/>
<address type=’virtio-serial’ controller=’0′ bus=’0′ port=’1’/>

上の様にCentOS7_2と雛形の名前のままの場合には、virsh start {公開用}でエラーになるので、

1. このxmlファイルを/rootにバックアップし、CentOS7_2の部分を{公開用}に変更。
2. クローンしたゲストの登録を解除
   • virsh undefine {公開用}
3. クローンしたゲストを再登録
   • virsh define /root/{公開用}.xml

※本当に20GBの仮想ディスクファイルが出来てしまっている場合は圧縮する。

qemu-img convert -c -f qcow2 -O qcow2 /var/lib/libvirt/images/{公開用}{,.compress}.qcow2
rm -f /var/lib/libvirt/images/{公開用}.qcow2
mv /var/lib/libvirt/images/{公開用}.compress.qcow2 /var/lib/libvirt/images/{公開用}.qcow2

ブログサーバーのXMLの設定をファイルシステムにも反映

virt-edit -d {公開用} /etc/sysconfig/network-scripts/ifcfg-eth0

UUID=適当に修正
HWADDR=適当に修正
IPADDR=適当に修正
/etc/libvirt/qemu/{公開用}.xmlを見ながら適当に修正。

virt-edit -d {公開用} /etc/hostname

ホスト名を修正

virt-edit -d {公開用} /etc/sysconfig/network

ホスト名があれば修正
※virt-editが無ければ、yum install libguestfs libguestfs-tools libguestfs-tools-c
※virt-editがviを開くまでは結構長いので気長に待つ。

{公開用}を再起動

virsh start {公開用}

一通りパッケージを入れる。

yum -y groupinstall base "Development tools"

epel インストール

yum -y install epel-release

Tripwireインストール

yum -y install tripwire

Tripwireの設定は　http://yokensaka.com/centos/?p=318　を参照。
※とりあえず残っているものを消す

yum remove tripwire
find /* | grep tripwire
rm -rf  見つかったもの全て

インスト開始

yum install tripwire

初期設定

tripwire-setup-keyfiles
・・・
Enter the site keyfile passphrase:　←　サイトパスフレーズを設定
Verify the site keyfile passphrase:　←　サイトパスフレーズを再度入力
・・・
Enter the local keyfile passphrase:　←　ローカルパスフレーズを設定
Verify the local keyfile passphrase:　←　ローカルパスフレーズを再度入力
・・・
Enter the site keyfile passphrase:　←　サイトパスフレーズを設定
・・・
Enter the site keyfile passphrase:　←　サイトパスフレーズを設定

設定ファイル（/etc/tripwire/twcfg.txt）の編集

LOOSEDIRECTORYCHECKING =false

を

LOOSEDIRECTORYCHECKING =true

REPORTLEVEL            =3

を

REPORTLEVEL            =4

設定ファイル（/etc/tripwire/twcfg.txt）を暗号化

twadmin -m F -c /etc/tripwire/tw.cfg -S /etc/tripwire/site.key /etc/tripwire/twcfg.txt
Please enter your site passphrase:　←　サイトパスフレーズを設定
rm -f /etc/tripwire/twcfg.txt

復活の呪文

twadmin --print-cfgfile > /etc/tripwire/twcfg.txt

ポリシーファイルの最適化スクリプト（/etc/tripwire/twpolmake.pl）を作る

省略

ポリシーファイル（/etc/tripwire/twpolmake.pl）を最適化

perl /etc/tripwire/twpolmake.pl /etc/tripwire/twpol.txt > /etc/tripwire/twpol.txt.new

ポリシーファイル（/etc/tripwire/twpolmake.pl）を暗号化

twadmin -m P -c /etc/tripwire/tw.cfg -p /etc/tripwire/tw.pol -S /etc/tripwire/site.key /etc/tripwire/twpol.txt.new
Please enter your site passphrase:　←　サイトパスフレーズを入力
rm -f /etc/tripwire/twpol.txt*

復活の呪文

twadmin -m p -c /etc/tripwire/tw.cfg -p /etc/tripwire/tw.pol -S /etc/tripwire/site.key > /etc/tripwire/twpol.txt

データベース作成

tripwire -m i -s -c /etc/tripwire/tw.cfg
Please enter your local passphrase:　←　ローカルパスフレーズを入力

※うまくいかない場合は、ポリシーファイルを復活させ編集し暗号化してもう一度やってみる。
動作確認

tripwire -m c -s -c /etc/tripwire/tw.cfg

クローンで定時動作（/etc/cron.daily/tripwire-check）

#!/bin/sh
# デフォルトの部分をコメントアウト
#HOST_NAME=`uname -n`
#if [ ! -e /var/lib/tripwire/${HOST_NAME}.twd ] ; then
#        echo "****    Error: Tripwire database for ${HOST_NAME} not found.    ****"
#        echo "**** Run "/etc/tripwire/twinstall.sh" and/or "tripwire --init". ****"
#else
#        test -f /etc/tripwire/tw.cfg && /usr/sbin/tripwire --check
#fi
# パスフレーズ設定
LOCALPASS='＊＊＊＊'　← ローカルパスフレーズを設定
SITEPASS='＊＊＊＊'　 ← サイトパスフレーズを設定
cd /etc/tripwire
# Tripwireチェック実行
tripwire -m c -s -c tw.cfg|mail -s "Tripwire(R) Integrity Check Report in `hostname`" root
# ポリシーファイル最新化
twadmin -m p -c tw.cfg -p tw.pol -S site.key > twpol.txt
perl twpolmake.pl twpol.txt > twpol.txt.new
twadmin -m P -c tw.cfg -p tw.pol -S site.key -Q $SITEPASS twpol.txt.new > /dev/null
rm -f twpol.txt* *.bak
# データベース更新
rm -f /usr/local/tripwire/lib/tripwire/*.twd*
tripwire -m i -s -c tw.cfg -P $LOCALPASS

実行属性を付加

chmod 700 /etc/cron.daily/tripwire-check

chkrootkitインストール

wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
tar zxvf chkrootkit.tar.gz
mkdir ~/bin
mv chkrootkit-0.50/chkrootkit ~/bin
rm -rf chkrootkit-0.50/ rm -f chkrootkit.tar.gz

※2016/10/30の更新で、chkrootkit.tar.gzやchkrootkit-051.tar.gzは使えない（テキストっぽい）ので、chkrootkit-050.tar.gzをDLかな？
内容を確認

chkrootkit | grep INFECTED

Searching for Suckit rootkit… Warning: /sbin/init INFECTED

原因を確認

rpm -V `rpm -qf /sbin/init`

差分が出なければ誤検知なので、
/root/chkrootのINFECTEDの部分から/sbin/initを除外する

echo "Warning: ${ROOTDIR}sbin/init INFECTED"

を

    if ! rpm -V `rpm -qf /sbin/init` > /dev/null 2>&1
    then
      echo "Warning: ${ROOTDIR}sbin/init INFECTED"
    fi

に変更
コマンドをバックアップ

mkdir chkrootkitcmd
cp `which --skip-alias awk cut echo egrep find head id ls netstat ps strings sed ssh uname` chkrootkitcmd/
chkrootkit -p /root/chkrootkitcmd|grep INFECTED
zip -r chkrootkitcmd.zip chkrootkitcmd/

Clam AntiVirusインストール

http://impov.hatenablog.com/entry/2016/08/22/002350を参考にする様にする

yum -y install clamav clamav-scanner-systemd clamav-update

設定ファイル（/etc/clamd.d/scan.conf）を編集

# Comment or remove the line below.
# Example ←コメントアウトする
# 以下はお好みで、該当部分を探しコメントを外して有効化
LogFile /var/log/clamd.scan
LogFileMaxSize 2M
LogRotate yes
# ローカルソケットの設定を探しコメントを外して有効化
LocalSocket /var/run/clamd.scan/clamd.sock
# ユーザーをコメントアウトして root で動作させる
#User clamscan
# スキャンしないディレクトリを設定しておく（必要に応じて適宜ディレクトリ追加）
# Don't scan files and directories matching regex
# This directive can be used multiple times
# Default: scan all
ExcludePath ^/proc/
ExcludePath ^/sys/
ExcludePath ^/home/share/

ln -s /etc/clamd.d/scan.conf /etc/clamd.conf

データベース更新用の設定ファイル（/etc/freshclam.conf）を編集

# Comment or remove the line below.
# Example ←コメントアウト
# 以下はお好みで、該当部分を探しコメントを外して有効化
UpdateLogFile /var/log/freshclam.log
LogFileMaxSize 2M
LogRotate yes

データベース更新用の設定ファイル（/etc/sysconfig/freshclam）を編集

# FRESHCLAM_DELAY=disabled-warn # REMOVE ME 最終行をコメントアウト

実行、自動実行

systemctl start clamd@scan
systemctl enable clamd@scan

データベース更新

freshclam

NTPサーバーインストール

インストしていない場合のみ

yum -y install chrony
vi /etc/chronyd.conf
#server 0.centos.pool.ntp.org iburst　←コメントアウト
#server 1.centos.pool.ntp.org iburst　←コメントアウト
#server 2.centos.pool.ntp.org iburst　←コメントアウト
#server 3.centos.pool.ntp.org iburst　←コメントアウト
server ntp1.jst.mfeed.ad.jp　　←追加
server ntp2.jst.mfeed.ad.jp　　←追加
server ntp3.jst.mfeed.ad.jp　　←追加
systemctl restart chronyd
systemctl enable chronyd

ps.2016.10.31 　Syntax Highlighter　と　エディタが相性が悪く、ソース部分の文字化けが酷いので手修正。一部間違っているかもしれない。