设为首页 收藏本站

运维网

 找回密码
 立即注册
查看: 1734|回复: 0

[经验分享] Centos6.4 安装ossec 2.7（2）

[复制链接]
fgew2
累计签到：1 天
连续签到：1 天
发表于 2015-4-17 10:42:35 | 显示全部楼层 |阅读模式
一、Ossec官网 http://www.ossec.net/

二、Ossec部署方式为C/S:
server: 192.168.88.156
agent:  192.168.88.161
wKiom1UuJqXz03p2AAImT0lyuiE635.jpg

三、Server服务器配置
1.关闭selinux，关闭iptables
[iyunv@localhost ~]#vi /etc/selinux/config
SELINUX=disabled

2.安装依赖包
[iyunv@localhost ~]#yum -y install wget lrzsz mysql gcc mysql mysql-server mysql-devel httpd php php-mysql postgresql sendmail
[iyunv@localhost ~]#/etc/init.d/sendmail start

3.下载ossec 2.7版本，最新已出到2.8.1
[iyunv@localhost ~]#wget http://www.ossec.net/files/ossec-hids-2.7.tar.gz
[iyunv@localhost ~]# tar -xf ossec-hids-2.7.tar.gz
[iyunv@localhost ~]# cd ossec-hids-2.7
[iyunv@localhost ossec-hids-2.7]# cd src/

4.查看ossec是否支持mysql
[iyunv@localhost src]# make setdb
Info: Compiled with MySQL support.
[iyunv@localhost src]# cd ..

5.安装ossec
[iyunv@localhost ossec-hids-2.7]# ./install.sh


  ** Para instala??o em português, escolha [br].
  ** 要使用中文进行安装, 请选择 [cn].
  ** Fur eine deutsche Installation wohlen Sie [de].
  ** Για εγκατ?σταση στα Ελληνικ?, επιλ?ξτε [el].
  ** For installation in English, choose [en].
  ** Para instalar en Espa?ol , eliga [es].
  ** Pour une installation en fran?ais, choisissez [fr]
  ** A Magyar nyelv? telepítéshez válassza [hu].
  ** Per l'installazione in Italiano, scegli [it].
  ** 日本語でインストールします．選択して下さい．[jp].
  ** Voor installatie in het Nederlands, kies [nl].
  ** Aby instalowa? w j?zyku Polskim, wybierz [pl].
  ** Для инструкций по установке на русском ,введите [ru].
  ** Za instalaciju na srpskom, izaberi [sr].
  ** Türk?e kurulum i?in se?in [tr].
  (en/br/cn/de/el/es/fr/hu/it/jp/nl/pl/ru/sr/tr) [en]: cn
OSSEC HIDS v2.7 安装脚本 - http://www.ossec.net

您将开始 OSSEC HIDS 的安装.
请确认在您的机器上已经正确安装了 C 编译器.
如果您有任何疑问或建议,请给 dcid@ossec.net (或 daniel.cid@gmail.com) 发邮件.

  - 系统类型: Linux localhost.localdomain 2.6.32-358.el6.i686
  - 用户: root
  - 主机: localhost.localdomain


  -- 按 ENTER 继续或 Ctrl-C 退出. --


1- 您希望哪一种安装 (server, agent, local or help)? server

  - 选择了 Server 类型的安装.

2- 正在初始化安装环境.

- 请选择 OSSEC HIDS 的安装路径 [/var/ossec]:

    - OSSEC HIDS 将安装在  /var/ossec .

3- 正在配置 OSSEC HIDS.

  3.1- 您希望收到e-mail告警吗? (y/n) [y]:
   - 请输入您的 e-mail 地址? flyshai@126.com

   - 我们找到您的 SMTP 服务器为: 58.32.186.231.
   - 您希望使用它吗? (y/n) [y]: n

   - 请输入您的 SMTP 服务器IP或主机名 ? 127.0.0.1

  3.2- 您希望运行系统完整性检测模块吗? (y/n) [y]:

   - 系统完整性检测模块将被部署.

  3.3- 您希望运行 rootkit检测吗? (y/n) [y]:

   - rootkit检测将被部署.

  3.4- 关联响应允许您在分析已接收事件的基础上执行一个
       已定义的命令.
       例如,你可以阻止某个IP地址的访问或禁止某个用户的访问权限.
       更多的信息,您可以访问:
       http://www.ossec.net/en/manual.html#active-response
   - 您希望开启联动(active response)功能吗? (y/n) [y]:


     - 关联响应已开启

   - 默认情况下, 我们开启了主机拒绝和防火墙拒绝两种响应.
     第一种情况将添加一个主机到 /etc/hosts.deny.
     第二种情况将在iptables(linux)或ipfilter(Solaris,
     FreeBSD 或 NetBSD）中拒绝该主机的访问.
   - 该功能可以用以阻止 SSHD 暴力攻击, 端口扫描和其他
     一些形式的攻击. 同样你也可以将他们添加到其他地方,
     例如将他们添加为 snort 的事件.

   - 您希望开启防火墙联动(firewall-drop)功能吗? (y/n) [y]:

     - 防火墙联动(firewall-drop)当事件级别 >= 6 时被启动

   - 联动功能默认的白名单是:
      - 192.168.88.2

   - 您希望添加更多的IP到白名单吗? (y/n)? [n]: y
   - 请输入IP (用空格进行分隔): 192.168.88.156

  3.5- 您希望接收远程机器syslog吗 (port 514 udp)? (y/n) [y]:

   - 远程机器syslog将被接收.

  3.6- 设置配置文件以分析一下日志:
    -- /var/log/messages
    -- /var/log/secure
    -- /var/log/maillog


-如果你希望监控其他文件, 只需要在配置文件ossec.conf中
  添加新的一项.



5- 正在安装系统
- 正在运行Makefile
INFO: Little endian set.
.....
.....
.....
.....
编译过程




- 系统类型是  Redhat Linux.
- 修改启动脚本使 OSSEC HIDS 在系统启动时自动运行

- 已正确完成系统配置.

- 要启动 OSSEC HIDS:
                /var/ossec/bin/ossec-control start

- 要停止 OSSEC HIDS:
                /var/ossec/bin/ossec-control stop

- 要查看或修改系统配置,请编辑  /var/ossec/etc/ossec.conf



   



6.配置mysql
在ossec-control命令启动前，要先启用数据库功能
[iyunv@localhost ossec-hids-2.7]#/var/ossec/bin/ossec-control enable database
[iyunv@localhost ossec-hids-2.7]#/etc/init.d/mysqld start

[iyunv@localhost ossec-hids-2.7]#mysql
mysql> create database ossec;
mysql> grant INSERT,SELECT,UPDATE,CREATE,DELETE,EXECUTE on ossec.* to ossec@localhost identified by 'ossec';
mysql> flush privileges;
mysql> q

[iyunv@localhost ossec-hids-2.7]# mysql -uossec -p ossec < src/os_dbd/mysql.schema
Enter password:
[iyunv@localhost ossec-hids-2.7]#chmod u+w /var/ossec/etc/ossec.conf

7.修改配置文件
[iyunv@localhost ossec-hids-2.7]#vi /var/ossec/etc/ossec.conf

设置告警邮箱
  
    yes
    flyshai@126.com
    bob@net.com
    127.0.0.1
    ossecm@localhost.localdomain
  

设置白名单

    127.0.0.1
    ^localhost.localdomain$
    192.168.88.2
    192.168.88.156
  

添加128行内容，ossec收集日志的服务也是采用syslog，只不过它会开启个1514的udp端口来接收数据，但为了安全考虑，需要允许指定的机器来连接我们的syslog服务，允许这个网段机器来连接syslog服务接收数据
  
    syslog
     192.168.0.0/16


添加到最后

       localhost
       ossec
       ossec
       ossec
       mysql
   

启动ossec服务端必须先添加一个客户端，否则直接启动服务端是会失败的，通过如下命令查看日志会发现如下错误：
[iyunv@localhost ossec-hids-2.7]#cat /var/ossec/logs/ossec.log

2013/09/23 23:43:15 ossec-analysisd(1210): ERROR: Queue '/queue/alerts/ar' not accessible:

'Connection refused'.
2013/09/23 23:43:15 ossec-analysisd(1301): ERROR: Unable to connect to active response queue.


8.在服务器上添加客户端
[iyunv@localhost ossec-hids-2.7]# /var/ossec/bin/manage_agents

****************************************
* OSSEC HIDS v2.7 Agent manager.     *
* The following options are available: *
****************************************
   (A)dd an agent (A).
   (E)xtract key for an agent (E).
   (L)ist already added agents (L).
   (R)emove an agent (R).
   (Q)uit.
Choose your action: A,E,L,R or Q: A

- Adding a new agent (use 'q' to return to the main menu).
  Please provide the following:
   * A name for the new agent: ossec-agent
   * The IP Address of the new agent: 192.168.88.161
   * An ID for the new agent[001]:
Agent information:
   ID:001
   Name:ossec-agent
   IP Address:192.168.88.161

Confirm adding it?(y/n): y
Agent added.


****************************************
* OSSEC HIDS v2.7 Agent manager.     *
* The following options are available: *
****************************************
   (A)dd an agent (A).
   (E)xtract key for an agent (E).
   (L)ist already added agents (L).
   (R)emove an agent (R).
   (Q)uit.
Choose your action: A,E,L,R or Q: E

Available agents:
   ID: 001, Name: ossec-agent, IP: 192.168.88.161
Provide the ID of the agent to extract the key (or 'q' to quit): 001

这个key用于后面的客户端连接到服务器
Agent key information for '001' is:
MDAxIG9zc2VjLWFnZW50IDE5Mi4xNjguODguMTYxIDVhMGI1NWZhOTc5Yjg3ZDI0ZjdiNzE4NzRhYzdmMzRiMDVlZjM4YjE3MTFlYWI1ZWJlZGI3MTUxODBhODNkNmE=

** Press ENTER to return to the main menu.

****************************************
* OSSEC HIDS v2.7 Agent manager.     *
* The following options are available: *
****************************************
   (A)dd an agent (A).
   (E)xtract key for an agent (E).
   (L)ist already added agents (L).
   (R)emove an agent (R).
   (Q)uit.
Choose your action: A,E,L,R or Q: Q

** You must restart OSSEC for your changes to take effect.

manage_agents: Exiting ..

9.启动Ossec服务
[iyunv@localhost ~]#/var/ossec/bin/ossec-control start && tail -f /var/ossec/logs/ossec.log
[iyunv@localhost ~]# /var/ossec/bin/ossec-control status
ossec-monitord is running...
ossec-logcollector is running...
ossec-remoted is running...
ossec-syscheckd is running...
ossec-analysisd is running...
ossec-maild is running...
ossec-execd is running...
ossec-dbd is running...

10.检查端口
服务启动之后，sendmail会发一封启动服务邮件到邮箱，ossec通信是用udp  514,1514端口
root@localhost ~]#netstat -unlp|grep ossec   

udp   0   0 0.0.0.0:514    0.0.0.0:*        4511/ossec-remoted  
udp   0   0 0.0.0.0:1514   0.0.0.0:*         4513/ossec-remoted
wKiom1UuIxeTnEqpAAFmkfn6mVI339.jpg


四、Agent客户端配置
1.关闭selinux，关闭iptables
[iyunv@localhost ~]#vi /etc/selinux/config
SELINUX=disabled

[iyunv@localhost ~]#yum -y install wget lrzsz mysql gcc mysql mysql-server mysql-devel php php-mysql postgresql

[iyunv@localhost ~]#wget http://www.ossec.net/files/ossec-hids-2.7.tar.gz
[iyunv@localhost ~]# tar -xf ossec-hids-2.7.tar.gz
[iyunv@localhost ~]# cd ossec-hids-2.7
[iyunv@localhost ossec-hids-2.7]# cd src/
[iyunv@localhost src]# make setdb
Info: Compiled with MySQL support.
[iyunv@localhost src]# cd ..
[iyunv@localhost ossec-hids-2.7]# ./install.sh

  ** Para instala??o em português, escolha [br].
  ** 要使用中文进行安装, 请选择 [cn].
  ** Fur eine deutsche Installation wohlen Sie [de].
  ** Για εγκατ?σταση στα Ελληνικ?, επιλ?ξτε [el].
  ** For installation in English, choose [en].
  ** Para instalar en Espa?ol , eliga [es].
  ** Pour une installation en fran?ais, choisissez [fr]
  ** A Magyar nyelv? telepítéshez válassza [hu].
  ** Per l'installazione in Italiano, scegli [it].
  ** 日本語でインストールします．選択して下さい．[jp].
  ** Voor installatie in het Nederlands, kies [nl].
  ** Aby instalowa? w j?zyku Polskim, wybierz [pl].
  ** Для инструкций по установке на русском ,введите [ru].
  ** Za instalaciju na srpskom, izaberi [sr].
  ** Türk?e kurulum i?in se?in [tr].
  (en/br/cn/de/el/es/fr/hu/it/jp/nl/pl/ru/sr/tr) [en]: cn
OSSEC HIDS v2.7 安装脚本 - http://www.ossec.net

您将开始 OSSEC HIDS 的安装.
请确认在您的机器上已经正确安装了 C 编译器.
如果您有任何疑问或建议,请给 dcid@ossec.net (或 daniel.cid@gmail.com) 发邮件.

  - 系统类型: Linux localhost.localdomain 2.6.32-358.el6.i686
  - 用户: root
  - 主机: localhost.localdomain


  -- 按 ENTER 继续或 Ctrl-C 退出. --


1- 您希望哪一种安装 (server, agent, local or help)? agent

  - 选择了 Agent(client) 类型的安装.

2- 正在初始化安装环境.

- 请选择 OSSEC HIDS 的安装路径 [/var/ossec]:

    - OSSEC HIDS 将安装在  /var/ossec .

3- 正在配置 OSSEC HIDS.

  3.1- 请输入 OSSEC HIDS 服务器的IP地址或主机名: 192.168.88.156

   - 添加服务器IP  192.168.88.156

  3.2- 您希望运行系统完整性检测模块吗? (y/n) [y]:

   - 系统完整性检测模块将被部署.

  3.3- 您希望运行 rootkit检测吗? (y/n) [y]:

   - rootkit检测将被部署.

  3.4 - 您希望开启联动(active response)功能吗? (y/n) [y]:


  3.5- 设置配置文件以分析一下日志:
    -- /var/log/messages
    -- /var/log/secure
    -- /var/log/maillog


-如果你希望监控其他文件, 只需要在配置文件ossec.conf中
  添加新的一项.
  任何关于配置的疑问您都可以在 http://www.ossec.net 找到答案.


  --- 按 ENTER 以继续 ---


.....
.....
.....
.....
编译过程



- 系统类型是  Redhat Linux.
- 修改启动脚本使 OSSEC HIDS 在系统启动时自动运行

- 已正确完成系统配置.

- 要启动 OSSEC HIDS:
                /var/ossec/bin/ossec-control start

- 要停止 OSSEC HIDS:
                /var/ossec/bin/ossec-control stop

- 要查看或修改系统配置,请编辑  /var/ossec/etc/ossec.conf



    感谢使用 OSSEC HIDS.
    如果您有任何疑问,建议或您找到任何bug,
    请通过　contact@ossec.net 或邮件列表 ossec-list@ossec.net 联系我们.   
    ( http://www.ossec.net/en/mailing_lists.html ).

    您可以在　http://www.ossec.net 获得更多信息

    --- 请按　ENTER 结束安装 (下面可能有更多信息). ---

- 您必须首先将该代理添加到服务器端以使他们能够相互通信.
   这样做了以后,您可以运行'manage_agents'工具导入
   服务器端产生的认证密匙.
   /var/ossec/bin/manage_agents

   详细信息请参考:
   http://www.ossec.net/en/manual.html#ma


[iyunv@localhost ossec-hids-2.7]#/var/ossec/bin/manage_agents

****************************************
* OSSEC HIDS v2.7 Agent manager.     *
* The following options are available: *
****************************************
   (I)mport key from the server (I).
   (Q)uit.
Choose your action: I or Q: I

* Provide the Key generated by the server.
* The best approach is to cut and paste it.
*** OBS: Do not include spaces or new lines.

Paste it here (or 'q' to quit):

MDAxIG9zc2VjLWFnZW50IDE5Mi4xNjguODguMTYxIDVhMGI1NWZhOTc5Yjg3ZDI0ZjdiNzE4NzRhYzdmMzRiMDVlZjM4YjE3MTFlYWI1ZWJlZGI3MTUxODBhODNkNmE=

Agent information:
   ID:001
   Name:ossec-agent
   IP Address:192.168.88.161

Confirm adding it?(y/n): y
Added.
** Press ENTER to return to the main menu.

****************************************
* OSSEC HIDS v2.7 Agent manager.     *
* The following options are available: *
****************************************
   (I)mport key from the server (I).
   (Q)uit.
Choose your action: I or Q: Q

** You must restart OSSEC for your changes to take effect.

manage_agents: Exiting ..

2.启动Ossec服务
[iyunv@localhost ossec-hids-2.7]# /var/ossec/bin/ossec-control start && tail -f /var/ossec/logs/ossec.log

[iyunv@localhost ossec-hids-2.7]#netstat -lanpu |grep ossec
udp        0      0 192.168.88.161:44719        192.168.88.156:1514   ESTABLISHED 30941/ossec-agentd  

[iyunv@localhost ossec-hids-2.7]#/etc/init.d/ossec status
ossec-logcollector is running...
ossec-syscheckd is running...
ossec-agentd is running...
ossec-execd is running...

五、配置web访问
ossec-wui web界面
官方文档 http://www.ossec.net/wiki/index.php/OSSECWUI:Install
[iyunv@localhost ~]# wget  http://www.ossec.net/files/ossec-wui-0.3.tar.gz
[iyunv@localhost ~]# tar -xf ossec-wui-0.3.tar.gz
[iyunv@localhost ~]# mkdir /var/www/html/ossec
[iyunv@localhost ~]#mv ossec-wui-0.3  /var/www/html/ossec/ossec-wui

设置web用户名密码
[iyunv@localhost ~]# cd /var/www/html/ossec/ossec-wui
[iyunv@localhost ossec-wui]#./setup.sh
Setting up ossec ui...

Username: admin
New password:
Re-type new password:
Adding password for user admin

Setup completed successfuly.


修改添加web用户
[iyunv@localhost ossec-wui]#vi /etc/group
ossec:x:500:apache

设置权限
[iyunv@localhost ossec-wui]#chmod 770 tmp/
[iyunv@localhost ossec-wui]#chgrp apache tmp/

[iyunv@localhost ~]# vi /etc/httpd/conf.d/ossec.conf


   Order deny,allow
   Deny from all
   Allow from 192.168.88.0/16

    Options FollowSymLinks  
    AllowOverride None      
    Order deny,allow        
    allow from all         

Options -MultiViews
   AuthName "OSSEC AUTH"
   AuthType Basic
   AuthUserFile /var/www/html/ossec/ossec-wui/.htpasswd
   Require valid-user


[iyunv@localhost ossec-wui]#/etc/init.d/httpd start
[iyunv@localhost ossec-wui]#-A INPUT -m state --state NEW -m tcp -p tcp--dport 80 -j ACCEPT

web访问
http://192.168.88.156/ossec/ossec-wui/
wKioL1UuJQCA4vEPAAVBgmDGxMo886.jpg

analogi web界面
[iyunv@localhost ~]#wget https://github.com/ECSC/analogi/archive/master.zip
[iyunv@localhost ~]#unzip master.zip

[iyunv@localhost ~]# mv analogi-master /var/www/html/ossec/analogi
[iyunv@localhost ~]#cd /var/www/html/ossec/analogi
[iyunv@localhost analogi]#cp db_ossec.php.new db_ossec.php

[iyunv@localhost analogi]#vi db_ossec.php
define ('DB_USER_O', 'ossec');
define ('DB_PASSWORD_O', 'ossec');
define ('DB_HOST_O', 'localhost');
define ('DB_NAME_O', 'ossec');

[iyunv@localhost analogi]#vi /etc/httpd/conf.d/analogi.conf


   Order deny,allow
   Deny from all
   Allow from 192.168.88.0/16

   Options FollowSymLinks   
   AllowOverride None      
   Order deny,allow         
   allow from all           



[iyunv@localhost analogi]#/etc/init.d/httpd restart

web访问
http://192.168.88.156/ossec/analogi/
wKiom1UuI83T06MwAAPaEBKkD3c075.jpg

六、查看状态信息
[iyunv@ossec-server ~]# /var/ossec/bin/agent_control -lc
OSSEC HIDS agent_control. List of available agents:
   ID: 000, Name: ossec-server.com (server), IP: 127.0.0.1, Active/Local
   ID: 001, Name: ossec-agent, IP: 192.168.88.161, Active

[iyunv@ossec-server ~]# /var/ossec/bin/list_agents -a
ossec-agent-192.168.88.161 is available.

[iyunv@ossec-server ~]#/var/ossec/bin/agent_control -i 001

OSSEC HIDS agent_control. Agent information:
   Agent ID:   001
   Agent Name: ossec-agent
   IP address: 192.168.88.161
   Status:     Active

   Operating system:    Linux localhost.localdomain 2.6.32-358.el6.i686 #1 S..
   Client version:      OSSEC HIDS v2.7
   Last keep alive:     Fri Apr  3 12:00:52 2015

   Syscheck last started  at: Fri Apr  3 11:35:40 2015
   Rootcheck last started at: Fri Apr  3 11:59:32 2015

服务器, server

相关帖子


运维网声明 1、欢迎大家加入本站运维交流群:群②:261659950 群⑤:202807635 群⑦870801961 群⑧679858003
2、本站所有主题由该帖子作者发表，该帖子作者与运维网享有帖子相关版权
3、所有作品的著作权均归原作者享有，请您和我们一样尊重他人的著作权等合法权益。如果您对作品感到满意，请购买正版
4、禁止制作、复制、发布和传播具有反动、淫秽、色情、暴力、凶杀等内容的信息，一经发现立即删除。若您因此触犯法律，一切后果自负，我们对此不承担任何责任
5、所有资源均系网友上传或者通过网络收集，我们仅提供一个展示、介绍、观摩学习的平台，我们不对其内容的准确性、可靠性、正当性、安全性、合法性等负责，亦不承担任何法律责任
6、所有作品仅供您个人学习、研究或欣赏，不得用于商业或者其他用途，否则，一切后果均由您自己承担，我们对此不承担任何法律责任
7、如涉及侵犯版权等问题，请您及时通知我们，我们将立即采取措施予以解决
8、联系人Email：admin@iyunv.com 网址：www.yunweiku.com

所有资源均系网友上传或者通过网络收集,我们仅提供一个展示、介绍、观摩学习的平台,我们不对其承担任何法律责任,如涉及侵犯版权等问题,请您及时通知我们,我们将立即处理,联系人Email:kefu@iyunv.com,QQ:1061981298 本贴地址：https://www.yunweiku.com/thread-58086-1-1.html 上篇帖子： Centos6.4 安装ossec 2.7（1） 下篇帖子： eth0: unknown interface: No such device 服务器 server
回复

使用道具 举报

返回列表
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

扫码加入运维网微信交流群X

扫码加入运维网微信交流群

扫描二维码加入运维网微信交流群，最新一手资源尽在官方微信交流群！快快加入我们吧...

扫描微信二维码查看详情

客服 E-mail:iyunvcom@gmail.com

本站由青云提供云计算服务

运维网--中国最专业的运维工程师交流社区

豫ICP备20007574号-1 Copyright © 2012-2025

关于我们

发展历程

联系我们

关注我们

广告服务

广告案例

隐私条款

免责声明

用户登录

用户注册

版主守则

申请版主

手机版

金币获取

帮助中心

每日签到

Good Good

Study

Day Day

UP


客服E-mail:kefu@iyunv.com 客服QQ：1061981298


QQ群⑦：运维网交流群⑦ QQ群⑧：运维网交流群⑧ k8s群：运维网kubernetes交流群


提醒：禁止发布任何违反国家法律、法规的言论与图片等内容；本站内容均来自个人观点与网络等信息，非本站认同之观点.


本站大部分资源是网友从网上搜集分享而来，其版权均归原作者及其网站所有，我们尊重他人的合法权益，如有内容侵犯您的合法权益，请及时与我们联系进行核实删除！



合作伙伴: 青云cloud

快速回复 返回顶部 返回列表