Intrusion Detection: Snort (IDS), OSSEC (HbIDS) Und Prelude (HIDS) Auf Ubuntu Gutsy Gibbon - Seite 3

ossec Quellcode

cd /src  
wget http://www.ossec.net/files/ossec-hids-1.4.tar.gz  
tar xvzf ossec-hids-1.4.tar.gz
cd ossec-hids-xx  
cd src  
make setprelude
CPRELUDE=-DPRELUDE -lprelude -pthread -lgcc_s -L/usr/lib -lprelude -lgnutls -lgcrypt -lrt -ldl
cd ..   
./install.sh
1- Welche Art von Installation möchten Sie (Server, Agent, lokal oder Hilfe)? local  
Wählen Sie, wo das OSSEC HIDS installiert werden soll [/var/ossec]:   
3- Konfiguration des OSSEC HIDS.  

  3.1- Möchten Sie E-Mail-Benachrichtigungen? (j/n) [j]: j  
   - Wie lautet Ihre E-Mail-Adresse? [email protected]  
   - Wie lautet die IP/Host Ihres SMTP-Servers? Ihre SMTP-Serveradresse (localhost)  

  3.2- Möchten Sie den Integritätsprüfdaemon ausführen? (j/n) [j]: j  

   - Syscheck wird ausgeführt (Integritätsprüfdaemon).  

  3.3- Möchten Sie die Rootkit-Erkennungsengine ausführen? (j/n) [j]: j  

   - Rootcheck wird ausgeführt (Rootkit-Erkennung).  

  3.4- Die aktive Antwort ermöglicht es Ihnen, einen bestimmten  
       Befehl basierend auf den empfangenen Ereignissen auszuführen. Zum Beispiel  
       können Sie eine IP-Adresse blockieren oder den Zugriff für  
       einen bestimmten Benutzer deaktivieren.  
       Weitere Informationen unter:  
       http://www.ossec.net/en/manual.html#active-response  

   - Möchten Sie die aktive Antwort aktivieren? (j/n) [j]: j  

     - Aktive Antwort aktiviert.  

   - Standardmäßig können wir die Host-Deny- und die  
     Firewall-Drop-Antworten aktivieren. Die erste wird  
     einen Host zu /etc/hosts.deny hinzufügen und die zweite wird  
     den Host in iptables blockieren (wenn Linux) oder in  
     ipfilter (wenn Solaris, FreeBSD oder NetBSD).  
   - Sie können sie verwenden, um SSHD-Brute-Force-Scans,  
     Portscans und einige andere Angriffsformen zu stoppen. Sie können  
     sie auch hinzufügen, um bei Snort-Ereignissen zu blockieren, zum Beispiel.  

   - Möchten Sie die Firewall-Drop-Antwort aktivieren? (j/n) [j]: j  

     - Firewall-Drop aktiviert (lokal) für Stufen >= 6  

   - Standard-Whitelist für die aktive Antwort:  
      - 192.168.2.1  

   - Möchten Sie weitere IPs zur Whitelist hinzufügen? (j/n)? [n]: n  

  3.6- Konfiguration zum Analysieren der folgenden Protokolle festlegen:  
    -- /var/log/messages  
    -- /var/log/auth.log  
    -- /var/log/syslog  
    -- /var/log/mail.info  
    -- /var/log/apache2/error.log (Apache-Protokoll)  
    -- /var/log/apache2/access.log (Apache-Protokoll)  

 - Wenn Sie eine andere Datei überwachen möchten, ändern Sie einfach  
   die ossec.conf und fügen Sie einen neuen localfile-Eintrag hinzu.  
   Alle Fragen zur Konfiguration können beantwortet werden,  
   indem Sie uns online unter http://www.ossec.net besuchen.  

   --- Drücken Sie ENTER, um fortzufahren ---
#!/bin/sh

case "$1" in
start)
  /var/ossec/bin/ossec-control start
;;
stop)
  /var/ossec/bin/ossec-control stop
;;
restart)
  $0 stop && sleep 3
  $0 start
;;
reload)
  $0 stop
  $0 start
;;
*)
echo "Verwendung: $0 {start|stop|restart|reload}"
exit 1
esac
chmod +x /etc/init.d/ossec 
update-rc.d ossec defaults

 ...
yes

prelude-adduser registration-server prelude-manager
prelude-adduser register OSSEC "idmef:w" localhost --uid ossec --gid ossec

Intrusion Detection: Snort (IDS), OSSEC (HbIDS) Und Prelude (HIDS) Auf Ubuntu Gutsy Gibbon - Seite 3

Teil 3 : Installation Und Konfiguration Von Ossec

Erhalte neue Beiträge in deinem Posteingang.