OSSEC. Centos 7. Установка и настройка

OSSEC сервер

wget -q -O - https://updates.atomicorp.com/installers/atomic | sudo bash

yum install ossec-hids-server

nano /var/ossec/etc/ossec.conf

<ossec_config>
  <global>
   <email_notification>yes</email_notification>
   <email_to>cless@cless.pro</email_to>
   <smtp_server>mail.cless.pro</smtp_server>
   <email_from>cless@cless.pro</email_from>
  </global>
  ...
  <syscheck>
   <!-- Frequency that syscheck is executed - default to every 22 hours -->
   <frequency>79200</frequency>
   
   <alert_new_files>yes</alert_new_files>
   <!-- мониторинг новых файлов в директориях в реальном времени -->
   <directories report_changes="yes" realtime="yes" check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
   <directories report_changes="yes" realtime="yes" check_all="yes">/bin,/sbin</directories>
  </syscheck>
  ...
  <alerts>
   <!-- минимальный уровень логов, при котором срабатывает тревога и отправляется почта -->
   <log_alert_level>1</log_alert_level>
   <email_alert_level>1</email_alert_level>
  </alerts>
  ...
</ossec_config>

systemctl enable ossec-hids

systemctl start ossec-hids

systemctl status ossec-hids

   -ИЛИ-

/var/ossec/bin/ossec-control start

/var/ossec/bin/ossec-control stop

/var/ossec/bin/ossec-control restart

/var/ossec/bin/ossec-control status

OSSEC агент

wget -q -O - https://updates.atomicorp.com/installers/atomic | sudo bash

yum install ossec-hids-agent

systemctl enable ossec-hids

systemctl start ossec-hids

systemctl status ossec-hids

# https://www.ossec.net/docs/programs/ossec-authd.html

OSSEC сервер

openssl genrsa -out /var/ossec/etc/sslmanager.key 2048

openssl req -new -x509 -key /var/ossec/etc/sslmanager.key -out /var/ossec/etc/sslmanager.cert -days 3650

/var/ossec/bin/ossec-authd -n

/var/ossec/bin/ossec-authd -p 1515 -n >/dev/null 2>&1 &

OSSEC агент

/var/ossec/bin/agent-auth -m <ossec_server_ip> -p 1515

OSSEC сервер

killall ossec-authd

/var/ossec/bin/agent_control -l

Тестирование

При перезапуске службы придет письмо

Пробуем зайти на сервер с агентом по ssh с неправильным паролем - придет письмо

Пробуем создать новый файл в одной из мониторящихся директорий - придет письмо