Tiger — Auditoría de Seguridad Linux

🐯

¿Qué es Tiger?

Auditoría de seguridad y detección de intrusiones para sistemas Unix

Tiger es una de las herramientas de auditoría de seguridad y detección de intrusiones más antiguas y respetadas para sistemas tipo Unix. Genera reportes detallados de configuraciones inseguras, exploits conocidos y problemas de permisos.

📦

1. Instalación en Ubuntu 24.04

Disponible directamente en los repositorios oficiales

A diferencia de otras herramientas que requieren compilación, Tiger está disponible directamente en los repositorios de paquetes de Ubuntu.

Actualizar el índice de paquetes

bash

sudo apt update

Instalar Tiger

El instalador puede hacer varias preguntas de configuración durante el proceso — responde según tu entorno.

bash

sudo apt install tiger -y

Ubicaciones clave tras la instalación

Configuración

/etc/tiger/

Archivos de configuración, listas de verificación y reglas de auditoría.

Binarios

/usr/sbin/

Ejecutable principal tiger y herramientas auxiliares.

Reportes

/var/log/tiger/

Directorio donde se guardan todos los reportes generados.

Formato del reporte

hostname.timestamp

Ej: security.report.feval-VirtualBox.251104-18:40

🚀

2. Ejecutar la Auditoría

Escaneo completo del sistema — requiere root

Tiger debe ejecutarse como root o con sudo para poder acceder a todos los archivos y configuraciones del sistema.

bash — escaneo completo

sudo tiger

⏱️ Tiempo de ejecución: Tiger realiza una auditoría estática y dinámica profunda del sistema. Puede tardar varios minutos, especialmente en máquinas virtuales o sistemas con muchos archivos.

ℹ️ Preguntas interactivas: Durante el escaneo, Tiger puede preguntar sobre la configuración (ej. si el servidor es una workstation o servidor de red). Responde y (yes) o n (no) según corresponda.

// Tiger ejecutándose en terminal — escaneo completo en progreso

salida al finalizar
Security report is in
`/var/log/tiger/security.report.feval-VirtualBox.251104-18:40'.

📋

3. Análisis de Resultados

Estructura del reporte y cómo interpretarlo

Localizar y abrir el reporte

bash — ver reportes disponibles
# Listar reportes generados
sudo ls -l /var/log/tiger/

# Abrir el reporte con less (navegación interactiva)
sudo less /var/log/tiger/<nombre_del_reporte>.log

# Ejemplo con nombres reales
sudo less /var/log/tiger/security.report.feval-VirtualBox.251103-09:36
sudo less /var/log/tiger/security.report.feval-VirtualBox.251104-18:40

El reporte está organizado por módulos de verificación. Las líneas más importantes empiezan con --FAIL-- o --WARN--:

--FAIL--[lin019f] No local firewall rules are configured.

--WARN--[cron003w] /etc/crontab: file permissions are too lax (0644 expected 0600 or less).

--WARN--[port001w] Listening on port 61208 TCP (Glances web service).

// Reporte de seguridad Tiger mostrando FAILs y WARNs detectados en el sistema

🔴

Fallos Críticos — FAIL

Problemas que deben abordarse de inmediato

Código	Descripción del problema	Nivel de riesgo
lin016f	Source routing habilitado. El sistema permite el enrutamiento de origen (source routing) de paquetes entrantes. Permite a atacantes especificar la ruta de un paquete, técnica usada para eludir firewalls y suplantar identidades.	RIESGO ALTO
lin019f	Sin reglas de firewall configuradas. El sistema no tiene ninguna regla de firewall local activa. Cualquier puerto abierto (Ajenti 8000, Cockpit 9090, etc.) es totalmente accesible desde la red sin ninguna protección.	RIESGO CRÍTICO

🟡

Advertencias Importantes — WARN

Debilidades que degradan la seguridad y la estabilidad del sistema

1. Gestión de Usuarios y Archivos

Código	Descripción	Riesgo
pass006w	Integridad de archivos de contraseña. Inconsistencias en `/etc/passwd`. Se recomienda ejecutar `pwck -r` para verificar y reparar cuentas del sistema (`lp`, `news`, `uucp`).	MEDIO
pass014w	Cuentas inconsistentes. Cuentas como feval, root y nagios están "deshabilitadas" (bloqueadas con `!`) pero tienen un shell válido. Política de seguridad inconsistente.	MEDIO
path001f	$PATH inseguro para root. El PATH de root incluye directorios donde usuarios normales podrían escribir o ejecutar scripts — riesgo de PATH hijacking.	ALTO

2. Servicios Críticos y Arranque

Código	Descripción	Riesgo
boot06	GRUB sin contraseña. El cargador de arranque no está protegido. Un atacante con acceso físico puede modificar parámetros del kernel o iniciar un shell de root, comprometiendo el sistema completo.	ALTO
cron003w	Permisos demasiado abiertos en crontab. `/etc/crontab` tiene permisos `0644` (se esperan `0600` o menos). Permite a usuarios no autorizados leer o modificar tareas programadas.	MEDIO

3. Configuraciones de Red y Seguridad

Código	Descripción	Riesgo
lin012w	Redirecciones ICMP aceptadas. El sistema acepta mensajes de redirección ICMP, lo que puede ser explotado en ataques de tipo man-in-the-middle.	MEDIO
lin017w	Martian packets no registrados. El sistema no está configurado para registrar paquetes sospechosos (martian packets), dificultando la detección de ataques de IP Spoofing.	MEDIO
misc019w	umask ausente en scripts de inicio. Sin un umask predeterminado, los archivos creados por scripts de inicio pueden tener permisos más abiertos de lo deseado.	MEDIO
port001w	Puertos de red abiertos. Tiger advierte sobre puertos activos (ej. puerto 61208 de Glances) que deben estar protegidos por un firewall.	MEDIO

🛡️

4. Pasos de Mitigación

Corregir primero los FAIL, luego los WARN

⛔ Configurar Firewall — FAIL lin019f

Instalar y habilitar UFW o Firewalld inmediatamente, abriendo solo los puertos necesarios.

bash

sudo ufw enable
sudo ufw allow ssh
sudo ufw allow 8000/tcp   # Ajenti
sudo ufw allow 9090/tcp   # Cockpit
sudo ufw status

⛔ Deshabilitar Source Routing — FAIL lin016f

Modificar sysctl para deshabilitar el enrutamiento de origen en todas las interfaces.

bash

# Deshabilitar source routing temporalmente
sudo sysctl -w net.ipv4.conf.all.accept_source_route=0
sudo sysctl -w net.ipv4.conf.default.accept_source_route=0

# Hacerlo permanente en /etc/sysctl.conf
echo "net.ipv4.conf.all.accept_source_route = 0" | sudo tee -a /etc/sysctl.conf

⚠️ Corregir Archivos de Contraseña — WARN pass006w

Ejecutar el comando sugerido por Tiger para verificar y reparar inconsistencias en las cuentas de usuario.

bash

sudo /usr/sbin/pwck -r

⚠️ Proteger GRUB — WARN boot06

Configurar una contraseña en GRUB para evitar el acceso físico no autorizado al root shell. Esto impide modificar parámetros del kernel al arrancar.

⚠️ Corregir permisos de crontab — WARN cron003w

Reducir los permisos de /etc/crontab de 0644 a 0600.

bash

sudo chmod 0600 /etc/crontab

🗓️

5. Auditorías Periódicas con Cron

Programar Tiger para ejecutarse automáticamente cada semana

La verdadera utilidad de Tiger como herramienta de detección de intrusiones es realizar auditorías periódicas. Si un atacante compromete el sistema a mitad de semana, la auditoría del domingo siguiente detectará todos los archivos modificados, añadidos o eliminados.

Abrir el crontab de root

bash

sudo crontab -e

Añadir la entrada de programación

Pega esta línea al final del archivo. Ejecutará Tiger todos los domingos a la 1:00 AM.

# Ejecutar Tiger los domingos a la 1:00 AM

0 1 * * 0 /usr/sbin/tiger

Minuto
(0)

Hora
(1 AM)

Día del
mes (any)

Mes
(any)

Día sem.
(domingo)

/usr/sbin/tiger

Comando

crontab — línea completa

# Ejecutar Tiger los domingos a la 1:00 AM
0 1 * * 0 /usr/sbin/tiger

✅ Detección de intrusiones pasiva: Con esta entrada cron, Tiger actúa como un IDS (Intrusion Detection System) a nivel de configuración. Detectará automáticamente cambios no autorizados en archivos críticos, nuevos servicios expuestos o modificaciones de permisos sospechosas, dejando el reporte en /var/log/tiger/ para su revisión.