OSSEC 是一个可扩展、多平台、开源的基于主机的入侵检测系统 (HIDS)

OSSEC 拥有强大的关联和分析引擎，集成了日志分析、文件完整性监控、Windows 注册表监控、集中策略执行、rootkit 检测、实时警报和主动响应。它可以在大多数操作系统上运行，包括 Linux、OpenBSD、FreeBSD、MacOS、Solaris 和 Windows。

(图片可点击放大查看)

一、OSSEC Server服务端搭建

1、CentOS7操作系统基础环境配置

hostnamectl set-hostname ossecserver
systemctl restart rsyslog
sed -i 's/enable/disabled/g' /etc/selinux/config
setenforce 0

(图片可点击放大查看)

2、安装mariadb

yum install mariadb-server
systemctl start mariadb
systemctl enable mariadb
mysql_secure_installation 
netstat -anp | grep 3306

(图片可点击放大查看)

(图片可点击放大查看)

(图片可点击放大查看)

mysql -uroot -pMySQL_2022

create database ossec;
grant INSERT,SELECT,UPDATE,CREATE,DELETE,EXECUTE on ossec.* to ossec@localhost;
set password for ossec@localhost=PASSWORD('password');
flush privileges;

(图片可点击放大查看)

3、安装OSSEC-Server并导入MySQL schema

yum localinstall *.rpm

(图片可点击放大查看)

(图片可点击放大查看)

cd /usr/share/ossec/contrib/
 mysql -uroot -p ossec < mysql.schema 

(图片可点击放大查看)

/var/ossec/bin/ossec-control enable database
cd /var/ossec/bin
./ossec-configure 

(图片可点击放大查看)

4、配置文件中添加output数据库配置

cd /var/ossec/etc/
vim ossec-server.conf 
     <database_output>
        <hostname>127.0.0.1</hostname>
        <username>ossec</username>
        <password>password</password>
        <database>ossec</database>
        <type>mysql</type>
    </database_output> 

(图片可点击放大查看)

cd /var/ossec/bin 
 ./ossec-control restart

(图片可点击放大查看)

(图片可点击放大查看)

5、添加客户端并生成Key

./manage_agents

(图片可点击放大查看)

二、OSSEC Agent客户端安装及配置

1、安装OSSEC-Agent

yum localinstall *.rpm

(图片可点击放大查看)

2、修改配置文件并启动客户端

cd /var/ossec/etc/
vim ossec-agent.conf
vim internal_options.conf 
cd /var/ossec/bin
touch /var/ossec/queue/rids/sender
./manage_agent 
./ossec-control restart

(图片可点击放大查看)

(图片可点击放大查看)

(图片可点击放大查看)

(图片可点击放大查看)

3、服务端确认Agent是否上线

/var/ossec/bin
./agent_control -lc

(图片可点击放大查看)

三、OSSEC-WUI Web服务启动

vi /etc/php.ini
systemctl restart httpd
systemctl enable httpd

(图片可点击放大查看)

(图片可点击放大查看)

(图片可点击放大查看)

(图片可点击放大查看)

(图片可点击放大查看)

四、配置CEF日志转发到Graylog

1、参考文章

https://github.com/Graylog2/graylog-guide-ossec

(图片可点击放大查看)

2、OSSEC-Server服务端添加syslog_output

vim /var/ossec/etc/ossec.conf
添加如下行
  <syslog_output>
    <server>192.168.31.232</server>
    <port>12000</port>
    <format>cef</format>
  </syslog_output>

(图片可点击放大查看)

/var/ossec/bin/ossec-control enable client-syslog
/var/ossec/bin/ossec-control restart

(图片可点击放大查看)

(图片可点击放大查看)

五、HIDS功能测试

1、例如暴力破解攻击测试

(图片可点击放大查看)

(图片可点击放大查看)

可以看到已经自动进行了封堵

(图片可点击放大查看)

2、系统完整性测试

(图片可点击放大查看)

(图片可点击放大查看)

六、Tips

1、验证MariaDB数据库是否正常对接

SELECT id,server_id,rule_id,level,timestamp,location_id,src_ip,dst_ip,src_port,dst_port,alertid,user FROM alert ;

(图片可点击放大查看)

2、配置文件排错时参考如下链接

https://ossec-list.narkive.com/bJiYSQh2/errors-in-ossec-clients
https://www.ossec.net/docs/