Détection d'intrusion : Snort (IDS), OSSEC (HbIDS) et Prelude (HIDS) sur Ubuntu Gutsy Gibbon - Page 3

code source d’ossec

cd /src  
wget http://www.ossec.net/files/ossec-hids-1.4.tar.gz  
tar xvzf ossec-hids-1.4.tar.gz
cd ossec-hids-xx  
cd src  
make setprelude
CPRELUDE=-DPRELUDE -lprelude -pthread -lgcc_s -L/usr/lib -lprelude -lgnutls -lgcrypt -lrt -ldl
cd ..   
./install.sh
1- Quel type d'installation voulez-vous (serveur, agent, local ou aide) ? local  
Choisissez où installer l'OSSEC HIDS [/var/ossec]:   
3- Configuration de l'OSSEC HIDS.  

  3.1- Voulez-vous une notification par e-mail ? (y/n) [y]: y  
   - Quelle est votre adresse e-mail ? [email protected]  
   - Quelle est l'adresse ip/hôte de votre serveur SMTP ? votre adresse de serveur smtp (localhost)  

  3.2- Voulez-vous exécuter le démon de vérification d'intégrité ? (y/n) [y]: y  

   - Exécution de syscheck (démon de vérification d'intégrité).  

  3.3- Voulez-vous exécuter le moteur de détection de rootkits ? (y/n) [y]: y  

   - Exécution de rootcheck (détection de rootkits).  

  3.4- La réponse active vous permet d'exécuter une commande spécifique en fonction des événements reçus. Par exemple, vous pouvez bloquer une adresse IP ou désactiver l'accès pour un utilisateur spécifique.  
       Plus d'informations à :  
       http://www.ossec.net/en/manual.html#active-response  

   - Voulez-vous activer la réponse active ? (y/n) [y]: y  

     - Réponse active activée.  

   - Par défaut, nous pouvons activer les réponses host-deny et firewall-drop. La première ajoutera un hôte à /etc/hosts.deny et la seconde bloquera l'hôte sur iptables (si linux) ou sur ipfilter (si Solaris, FreeBSD ou NetBSD).  
   - Elles peuvent être utilisées pour arrêter les scans de force brute SSHD, les scans de ports et d'autres formes d'attaques. Vous pouvez également les ajouter pour bloquer sur des événements snort, par exemple.  

   - Voulez-vous activer la réponse firewall-drop ? (y/n) [y]: y  

     - firewall-drop activé (local) pour les niveaux >= 6  

   - Liste blanche par défaut pour la réponse active :  
      - 192.168.2.1  

   - Voulez-vous ajouter plus d'IPs à la liste blanche ? (y/n)? [n]: n  

  3.6- Configuration pour analyser les journaux suivants :  
    -- /var/log/messages  
    -- /var/log/auth.log  
    -- /var/log/syslog  
    -- /var/log/mail.info  
    -- /var/log/apache2/error.log (journal apache)  
    -- /var/log/apache2/access.log (journal apache)  

 - Si vous souhaitez surveiller un autre fichier, il suffit de modifier le ossec.conf et d'ajouter une nouvelle entrée localfile.  
   Toute question concernant la configuration peut être répondue en nous visitant en ligne à http://www.ossec.net .  

   --- Appuyez sur ENTER pour continuer ---
#!/bin/sh

case "$1" in
start)
  /var/ossec/bin/ossec-control start
;;
stop)
  /var/ossec/bin/ossec-control stop
;;
restart)
  $0 stop && sleep 3
  $0 start
;;
reload)
  $0 stop
  $0 start
;;
*)
echo "Usage: $0 {start|stop|restart|reload}"
exit 1
esac
chmod +x /etc/init.d/ossec 
update-rc.d ossec defaults

 ...
yes

prelude-adduser registration-server prelude-manager
prelude-adduser register OSSEC "idmef:w" localhost --uid ossec --gid ossec

Détection d'intrusion : Snort (IDS), OSSEC (HbIDS) et Prelude (HIDS) sur Ubuntu Gutsy Gibbon - Page 3

Partie 3 : Installation et configuration d’Ossec

Recevez de nouveaux articles dans votre boîte de réception.