Unix--Tripwire，它是目前最为著名的Unix下文件系统完整性检查的软件工具，这一软件采用的技术核心就是对每个要监控的文件产生一个数字签名，保留下来。
当文件现在的数字签名与保留的数字签名不一致时，那么现在这个文件必定被改动过了。具体到监控项目，在Unix--Tripwire的配置文件中有如下相应说明：
- access permissions and file mode settings， including effective execution settings inode number in the file system
- number of links
- user ID of the owner
- group ID of the group of users to which access may be granted
- size of the item
- date and time the item was last accessed， the last modification made to the item， and the creation date and time associated with the items inode
由上，我们可以看到Unix--Tripwire对文件的管理面是很宽的。
Unix--Tripwire的工作原理
当Unix--Tripwire运行在数据库生成模式时，会根据管理员设置的一个配置文件对指定要监控的文件进行读取，对每个文件生成相应数字签名，并将这些结果保存在自己的数据库中，在缺省状态下，MD5和SNCFRN(Xerox的安全哈希函数)加密手段被结合用来生成文件的数字签名。
除此以外，管理员还可使用MD4，CRC32，SHA等哈希函数，但实际上，使用上述两种哈希函数的可靠性已相当高了，而且结合MD5和sncfrn两种算法(尤其是sncfrn)对系统资源的耗费已较大，所以在使用时可根据文件的重要性做取舍。
当怀疑系统被入侵时，可由Unix--Tripwire根据先前生成的，数据库文件来做一次数字签名的对照，如果文件被替换，则与Tripwire数据库内相应数字签名不匹配， 这时Tripwire会报告相应文件被更动，管理员就明白系统不"干净"了。
有一点要注意，上述保障机制的重点在于数据库内的数字签名，如果数据库是不可靠的，则一切工作都丧失意义。所以在Unix--Tripwire生成数据库后，这个库文件的安全极为重要。比较常见的做法是将数据库文件， Tripwire二进制文件，配置文件单独保留到"可拿走并锁起来"的质上，如软盘，将上述文件复制到软盘后，关闭写保护口，锁到保险柜中。
除软盘外， 一次性介质，如cd-r也是很好的选择，这样即使侵入者拿到盘也无计可施。除这种办法外，利用PGP等加密工具对上述关键文件进行数字签名也是一个很好的选择。
当然，当管理员自身对某些文件更动时， Unix--Tripwire的数据库必然是需要随之更新的， Unix--Tripwire考虑到了这一点，它有四种工作模式：数据库生成，完整性检查，数据库更新。交互更新。当管理员更动文件后，可运行数据库更新模式来产生新的数据库文件。
【编辑推荐】
