Cless в 17:11, 15 июня 2022

2022-06-15T17:11:35Z

← Предыдущая		Версия 17:11, 15 июня 2022
Строка 107:		Строка 107:

	<code>/var/ossec/bin/agent_control -l</code>		<code>/var/ossec/bin/agent_control -l</code>
	==Тестирование==		==Тестирование сервера==
	При перезапуске службы придет письмо		При перезапуске службы придет письмо

Строка 137:		Строка 137:

	New sha1sum is : '553b01c36025326057b4e1aa16bfc5bc59567f50'</blockquote>		New sha1sum is : '553b01c36025326057b4e1aa16bfc5bc59567f50'</blockquote>

			== Тестирование машины-клиента с агентом ==
			Пробуем зайти на '''МАШИНУ-АГЕНТ''' по '''ssh''' с неправильным паролем - придет письмо, на OSSEC сервере в файле '''/var/ossec/logs/alerts/alerts.log''' будет примерно такой лог (где '''centos7-test01''' - имя хоста агента):<blockquote>** Alert 1655312384.3212: - syslog,sshd,authentication_failed,

			2022 Jun 15 19:59:44 (centos7-test01) any->/var/log/secure

			Rule: 5716 (level 5) -> 'SSHD authentication failed.'

			Src IP: 192.168.17.250

			User: root

			Jun 15 19:59:42 '''centos7-test01''' sshd[3400]: Failed password for root from 192.168.17.250 port 38700 ssh2</blockquote>

Cless в 17:04, 15 июня 2022

2022-06-15T17:04:52Z

← Предыдущая		Версия 17:04, 15 июня 2022
Строка 84:		Строка 84:
	<code>/var/ossec/bin/agent-auth -m <ossec_server_ip> -p 1515</code>		<code>/var/ossec/bin/agent-auth -m <ossec_server_ip> -p 1515</code>

			Конфигурация агента

			<code>nano /var/ossec/etc/ossec-agent.conf</code>
			...
			<client>
			<server-ip>'''OSSEC-SERVER_IP'''</server-ip>
			</client>
			...
	Запуск службы		Запуск службы

Cless в 16:47, 15 июня 2022

2022-06-15T16:47:49Z

← Предыдущая		Версия 16:47, 15 июня 2022
Строка 1:		Строка 1:
	[[Категория:OSSEC]]		[[Категория:OSSEC]]
	__ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__		__ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__
			==Описание==
			Установка и настройка OSSEC сервера и OSSEC агента
			==OSSEC сервер==
			Установим '''rsyslog''' (по-умолчанию в AlmaLinux он не установлен, поэтому, например, файла '''/var/log/secure''', в который пишутся попытки доступа по '''SSH''', в системе не будет пока не установлена '''rsyslog''')

			<code>dnf install -y rsyslog</code>

			<code>systemctl enable rsyslog</code>

			<code>systemctl start rsyslog</code>

			Установка OSSEC сервера

			<code>wget -q -O - <nowiki>https://updates.atomicorp.com/installers/atomic</nowiki> \| sudo bash</code>

			<code>dnf install -y ossec-hids-server</code>

			<code>nano /var/ossec/etc/ossec.conf</code><syntaxhighlight lang="xml">
			<ossec_config>
			<global>
			<email_notification>yes</email_notification>
			<email_to>cless@cless.pro</email_to>
			<smtp_server>mail.cless.pro</smtp_server>
			<email_from>cless@cless.pro</email_from>
			</global>
			...
			<syscheck>
			<!-- Frequency that syscheck is executed - default to every 22 hours -->
			<frequency>79200</frequency>

			<alert_new_files>yes</alert_new_files>
			<!-- мониторинг новых файлов в директориях в реальном времени -->
			<directories report_changes="yes" realtime="yes" check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
			<directories report_changes="yes" realtime="yes" check_all="yes">/bin,/sbin</directories>
			</syscheck>
			...
			<alerts>
			<!-- минимальный уровень логов, при котором срабатывает тревога и отправляется почта -->
			<log_alert_level>1</log_alert_level>
			<email_alert_level>1</email_alert_level>
			</alerts>
			...
			</ossec_config>
			</syntaxhighlight><code>systemctl enable ossec-hids</code>

			<code>systemctl start ossec-hids</code>

			<code>systemctl status ossec-hids</code>

			-ИЛИ-

			<code>/var/ossec/bin/ossec-control start</code>

			<code>/var/ossec/bin/ossec-control stop</code>

			<code>/var/ossec/bin/ossec-control restart</code>

			<code>/var/ossec/bin/ossec-control status</code>

			Создаем ключи для агентов

			<code>openssl genrsa -out /var/ossec/etc/sslmanager.key 2048</code>

			<code>openssl req -new -x509 -key /var/ossec/etc/sslmanager.key -out /var/ossec/etc/sslmanager.cert -days 3650</code>

			Запускаем утилиту для принятия агентов

			<code>/var/ossec/bin/ossec-authd -n</code>

			<code>/var/ossec/bin/ossec-authd -p 1515 -n >/dev/null 2>&1 &</code>
			==OSSEC агент==
			https://www.ossec.net/docs/programs/ossec-authd.html

			Установка

			wget -q -O - <nowiki>https://updates.atomicorp.com/installers/atomic</nowiki> \| sudo bash

			dnf install -y ossec-hids-agent

			Подключение к серверу

			<code>/var/ossec/bin/agent-auth -m <ossec_server_ip> -p 1515</code>

			Запуск службы

			<code>systemctl enable ossec-hids</code>

			<code>systemctl start ossec-hids</code>

			<code>systemctl status ossec-hids</code>
			==OSSEC сервер==
			Завершаем утилиту для подключения агентов

			<code>killall ossec-authd</code>

			Показать агентов

			<code>/var/ossec/bin/agent_control -l</code>
			==Тестирование==
			При перезапуске службы придет письмо

			Пробуем зайти на сервер с агентом по '''ssh''' с неправильным паролем - придет письмо, в файле '''/var/ossec/logs/alerts/alerts.log''' будет примерно такой лог:<blockquote>** Alert 1655311057.939: - syslog,sshd,authentication_failed,

			2022 Jun 15 19:37:37 ossec01->/var/log/secure

			Rule: 5716 (level 5) -> 'SSHD authentication failed.'

			Src IP: 192.168.166.52

			User: root

			Jun 15 19:37:35 ossec01 sshd[3393]: Failed password for root from 192.168.166.52 port 53436 ssh2</blockquote>Пробуем создать новый файл в одной из мониторящихся директорий или изменить файл - придет письмо, в файле '''/var/ossec/logs/alerts/alerts.log''' будет примерно такой лог:<blockquote>** Alert 1655311128.1528: mail - ossec,syscheck,

			2022 Jun 15 19:38:48 ossec01->syscheck

			Rule: 550 (level 7) -> 'Integrity checksum changed.'

			Integrity checksum changed for: '/etc/ld.so.cache'

			Size changed from '17627' to '17719'

			Old md5sum was: '7c5e3ab07545ff7f4e69b1111297c1ad'

			New md5sum is : '3a17f34da4de59474fbbc13a11d60cf0'

			Old sha1sum was: 'c80eca0e1a3f72bf67c070e5995b2350355ffdc0'

			New sha1sum is : '553b01c36025326057b4e1aa16bfc5bc59567f50'</blockquote>

Cless: Новая страница: «Категория:OSSEC __ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__»

2022-06-15T16:43:21Z

Новая страница: «Категория:OSSEC __ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__»

Новая страница

[[Категория:OSSEC]]
__ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__

OSSEC. AlmaLinux 8. Установка и настройка - История изменений

Cless в 17:11, 15 июня 2022

Cless в 17:04, 15 июня 2022

Cless в 16:47, 15 июня 2022

Cless: Новая страница: «Категория:OSSEC __ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__»