database - 对备份数据库使用 rpm -V

Question

rpm(1) 提供了一个 -V 选项来根据安装数据库验证安装的文件，可用于检测修改或丢失的文件。这可能用作入侵检测的一种形式(或至少是审计的一部分)。但是，安装的 rpm 数据库当然有可能被黑客修改以隐藏他们的踪迹(参见 http://www.sans.org/security-resources/idfaq/rpm.php，最后一句话)

看起来应该可以在每次安装后备份 rpm 数据库/var/lib/rpm(到某些外部介质)并在审计期间使用 --dbpath 使用它。当然，每次安装或升级等后，都必须更新此类备份。

这可行吗？是否有任何资源详细说明了这方面的方法、陷阱、建议等？

Answer 1

是可行的。使用“rpm -Va --dbpath/some/where/else”指向一些保存的数据库目录。

复制/var/lib/rpm/Packages到保存的/some/where/else目录下，并运行“rpm --rebuilddb --dbpath/some/where/else”重新生成指数。

请注意，您还可以使用原始包装验证文件像“rpm -Vp some*.rpm”这样通常不那么麻烦(而且更多使用 RO 离线媒体存储包确保安全)而不是保存副本已安装的/var/lib/rpm/Packages rpmdb。