OSSEC. Centos 7. Установка и настройка - История изменений

Cless в 17:10, 15 июня 2022

2022-06-15T17:10:04Z

← Предыдущая		Версия 17:10, 15 июня 2022
Строка 77:		Строка 77:
	<code>/var/ossec/bin/agent-auth -m <ossec_server_ip> -p 1515</code>		<code>/var/ossec/bin/agent-auth -m <ossec_server_ip> -p 1515</code>

			Конфигурация агента

			<code>nano /var/ossec/etc/ossec-agent.conf</code>
			...
			<client>
			<server-ip>'''OSSEC-SERVER_IP'''</server-ip>
			</client>
			...
	Запуск службы		Запуск службы

Строка 94:		Строка 102:
	<code>/var/ossec/bin/agent_control -l</code>		<code>/var/ossec/bin/agent_control -l</code>

	== Тестирование ==		== Тестирование сервера ==
	При перезапуске службы придет письмо		При перезапуске службы придет письмо

Строка 124:		Строка 132:

	New sha1sum is : '553b01c36025326057b4e1aa16bfc5bc59567f50'</blockquote>		New sha1sum is : '553b01c36025326057b4e1aa16bfc5bc59567f50'</blockquote>

			== Тестирование машины-клиента с агентом ==
			Пробуем зайти на '''МАШИНУ-АГЕНТ''' по '''ssh''' с неправильным паролем - придет письмо, на OSSEC сервере в файле '''/var/ossec/logs/alerts/alerts.log''' будет примерно такой лог:<blockquote>** Alert 1655312384.3212: - syslog,sshd,authentication_failed,

			2022 Jun 15 19:59:44 (centos7-test01) any->/var/log/secure

			Rule: 5716 (level 5) -> 'SSHD authentication failed.'

			Src IP: 192.168.17.250

			User: root

			Jun 15 19:59:42 '''centos7-test01''' sshd[3400]: Failed password for root from 192.168.17.250 port 38700 ssh2</blockquote>

Cless в 16:42, 15 июня 2022

2022-06-15T16:42:29Z

← Предыдущая		Версия 16:42, 15 июня 2022
Строка 97:		Строка 97:
	При перезапуске службы придет письмо		При перезапуске службы придет письмо

	Пробуем зайти на сервер с агентом по ssh с неправильным паролем - придет письмо		Пробуем зайти на сервер с агентом по '''ssh''' с неправильным паролем - придет письмо, в файле '''/var/ossec/logs/alerts/alerts.log''' будет примерно такой лог:<blockquote>** Alert 1655311057.939: - syslog,sshd,authentication_failed,

	Пробуем создать новый файл в одной из мониторящихся директорий - придет письмо		2022 Jun 15 19:37:37 ossec01->/var/log/secure

			Rule: 5716 (level 5) -> 'SSHD authentication failed.'

			Src IP: 192.168.166.52

			User: root

			Jun 15 19:37:35 ossec01 sshd[3393]: Failed password for root from 192.168.166.52 port 53436 ssh2</blockquote>Пробуем создать новый файл в одной из мониторящихся директорий или изменить файл - придет письмо, в файле '''/var/ossec/logs/alerts/alerts.log''' будет примерно такой лог:<blockquote>** Alert 1655311128.1528: mail - ossec,syscheck,

			2022 Jun 15 19:38:48 ossec01->syscheck

			Rule: 550 (level 7) -> 'Integrity checksum changed.'

			Integrity checksum changed for: '/etc/ld.so.cache'

			Size changed from '17627' to '17719'

			Old md5sum was: '7c5e3ab07545ff7f4e69b1111297c1ad'

			New md5sum is : '3a17f34da4de59474fbbc13a11d60cf0'

			Old sha1sum was: 'c80eca0e1a3f72bf67c070e5995b2350355ffdc0'

			New sha1sum is : '553b01c36025326057b4e1aa16bfc5bc59567f50'</blockquote>

Cless в 16:29, 15 июня 2022

2022-06-15T16:29:17Z

← Предыдущая		Версия 16:29, 15 июня 2022
Строка 3:		Строка 3:

	== Описание ==		== Описание ==
	Установка и настройка OSSEC ~~сервара~~ и OSSEC агента		Установка и настройка OSSEC сервера и OSSEC агента

	== OSSEC сервер ==		== OSSEC сервер ==

Cless в 16:16, 15 июня 2022

2022-06-15T16:16:05Z

← Предыдущая		Версия 16:16, 15 июня 2022
Строка 51:		Строка 51:

	<code>/var/ossec/bin/ossec-control status</code>		<code>/var/ossec/bin/ossec-control status</code>

			Создаем ключи для агентов

			<code>openssl genrsa -out /var/ossec/etc/sslmanager.key 2048</code>

			<code>openssl req -new -x509 -key /var/ossec/etc/sslmanager.key -out /var/ossec/etc/sslmanager.cert -days 3650</code>

			Запускаем утилиту для принятия агентов

			<code>/var/ossec/bin/ossec-authd -n</code>

			<code>/var/ossec/bin/ossec-authd -p 1515 -n >/dev/null 2>&1 &</code>

	== OSSEC агент ==		== OSSEC агент ==
	~~<code>wget -q -O - <nowiki>~~https://~~updates~~.~~atomicorp~~.~~com~~/~~installers~~/~~atomic<~~/~~nowiki> \| sudo bash</code>~~		https://www.ossec.net/docs/programs/ossec-authd.html

	~~<code>yum install ossec-hids-agent</code>~~		Установка

	<~~code~~>~~systemctl enable ossec-hids~~</~~code~~>		wget -q -O - <nowiki>https://updates.atomicorp.com/installers/atomic</nowiki> \| sudo bash

	~~<code>systemctl start~~ ossec-hids~~</code>~~		yum install ossec-hids-agent

	~~<code>systemctl status ossec-hids</code>~~		Подключение к серверу

	<~~nowiki~~>~~#</nowiki> <nowiki>https:~~//~~www.~~ossec~~.net~~/~~docs~~/~~programs/ossec~~-~~authd.html~~</~~nowiki~~>		<code>/var/ossec/bin/agent-auth -m <ossec_server_ip> -p 1515</code>

	~~== OSSEC сервер ==~~		Запуск службы
	~~<code>openssl genrsa -out /var/ossec/etc/sslmanager.key 2048</code>~~

	<code>~~openssl req -new -x509 -key /var/ossec/etc/sslmanager.key -out /var/~~ossec~~/etc/sslmanager.cert~~ -~~days 3650~~</code>		<code>systemctl enable ossec-hids</code>

	<code>~~/var/~~ossec~~/bin/ossec-authd~~ -n</code>		<code>systemctl start ossec-hids</code>

	<code>~~/var/~~ossec~~/bin/ossec-authd -p 1515~~ -~~n >/dev/null 2>&1 &~~</code>		<code>systemctl status ossec-hids</code>

	== OSSEC ~~агент~~ ==		== OSSEC сервер ==
	~~<code>/var/ossec/bin/agent-auth -m '''<ossec_server_ip>''' -p 1515</code>~~		Завершаем утилиту для подключения агентов

	~~== OSSEC сервер ==~~
	<code>killall ossec-authd</code>		<code>killall ossec-authd</code>

			Показать агентов

	<code>/var/ossec/bin/agent_control -l</code>		<code>/var/ossec/bin/agent_control -l</code>

Cless в 09:37, 15 июня 2022

2022-06-15T09:37:13Z

← Предыдущая		Версия 09:37, 15 июня 2022
Строка 1:		Строка 1:
	[[Категория:OSSEC]]		[[Категория:OSSEC]]
	__ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__		__ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__

			== Описание ==
			Установка и настройка OSSEC сервара и OSSEC агента

	== OSSEC сервер ==		== OSSEC сервер ==
Строка 72:		Строка 75:

	== OSSEC агент ==		== OSSEC агент ==
	<code>/var/ossec/bin/agent-auth -m <ossec_server_ip> -p 1515</code>		<code>/var/ossec/bin/agent-auth -m '''<ossec_server_ip>''' -p 1515</code>

	== OSSEC сервер ==		== OSSEC сервер ==

Cless в 09:35, 15 июня 2022

2022-06-15T09:35:54Z

← Предыдущая		Версия 09:35, 15 июня 2022
Строка 1:		Строка 1:
	[[Категория:OSSEC]]		[[Категория:OSSEC]]
	__ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__		__ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__

			== OSSEC сервер ==
			<code>wget -q -O - <nowiki>https://updates.atomicorp.com/installers/atomic</nowiki> \| sudo bash</code>

			<code>yum install ossec-hids-server</code>

			<code>nano /var/ossec/etc/ossec.conf</code><syntaxhighlight lang="xml">
			<ossec_config>
			<global>
			<email_notification>yes</email_notification>
			<email_to>cless@cless.pro</email_to>
			<smtp_server>mail.cless.pro</smtp_server>
			<email_from>cless@cless.pro</email_from>
			</global>
			...
			<syscheck>
			<!-- Frequency that syscheck is executed - default to every 22 hours -->
			<frequency>79200</frequency>

			<alert_new_files>yes</alert_new_files>
			<!-- мониторинг новых файлов в директориях в реальном времени -->
			<directories report_changes="yes" realtime="yes" check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
			<directories report_changes="yes" realtime="yes" check_all="yes">/bin,/sbin</directories>
			</syscheck>
			...
			<alerts>
			<!-- минимальный уровень логов, при котором срабатывает тревога и отправляется почта -->
			<log_alert_level>1</log_alert_level>
			<email_alert_level>1</email_alert_level>
			</alerts>
			...
			</ossec_config>
			</syntaxhighlight><code>systemctl enable ossec-hids</code>

			<code>systemctl start ossec-hids</code>

			<code>systemctl status ossec-hids</code>

			-ИЛИ-

			<code>/var/ossec/bin/ossec-control start</code>

			<code>/var/ossec/bin/ossec-control stop</code>

			<code>/var/ossec/bin/ossec-control restart</code>

			<code>/var/ossec/bin/ossec-control status</code>

			== OSSEC агент ==
			<code>wget -q -O - <nowiki>https://updates.atomicorp.com/installers/atomic</nowiki> \| sudo bash</code>

			<code>yum install ossec-hids-agent</code>

			<code>systemctl enable ossec-hids</code>

			<code>systemctl start ossec-hids</code>

			<code>systemctl status ossec-hids</code>

			<nowiki>#</nowiki> <nowiki>https://www.ossec.net/docs/programs/ossec-authd.html</nowiki>

			== OSSEC сервер ==
			<code>openssl genrsa -out /var/ossec/etc/sslmanager.key 2048</code>

			<code>openssl req -new -x509 -key /var/ossec/etc/sslmanager.key -out /var/ossec/etc/sslmanager.cert -days 3650</code>

			<code>/var/ossec/bin/ossec-authd -n</code>

			<code>/var/ossec/bin/ossec-authd -p 1515 -n >/dev/null 2>&1 &</code>

			== OSSEC агент ==
			<code>/var/ossec/bin/agent-auth -m <ossec_server_ip> -p 1515</code>

			== OSSEC сервер ==
			<code>killall ossec-authd</code>

			<code>/var/ossec/bin/agent_control -l</code>

			== Тестирование ==
			При перезапуске службы придет письмо

			Пробуем зайти на сервер с агентом по ssh с неправильным паролем - придет письмо

			Пробуем создать новый файл в одной из мониторящихся директорий - придет письмо

Cless: Новая страница: «Категория:OSSEC __ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__»

2022-06-15T09:30:01Z

Новая страница: «Категория:OSSEC __ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__»

Новая страница

[[Категория:OSSEC]]
__ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__