侵入検知: Snort (IDS)、OSSEC (HbIDS) および Prelude (HIDS) の Ubuntu Gutsy Gibbon - ページ 3

cd /src  
wget http://www.ossec.net/files/ossec-hids-1.4.tar.gz  
tar xvzf ossec-hids-1.4.tar.gz

cd ossec-hids-xx  
cd src  
make setprelude

CPRELUDE=-DPRELUDE -lprelude -pthread -lgcc_s -L/usr/lib -lprelude -lgnutls -lgcrypt -lrt -ldl

cd ..   
./install.sh

1- どの種類のインストールを希望しますか (サーバー、エージェント、ローカル、またはヘルプ)? local  

OSSEC HIDS をインストールする場所を選択してください [/var/ossec]:   

3- OSSEC HIDS の設定。
  
  3.1- Eメール通知を希望しますか? (y/n) [y]: y  
   - あなたのメールアドレスは何ですか? [email protected]  
   - あなたの SMTP サーバーの IP/ホストは何ですか? あなたの SMTP サーバーアドレス (localhost)  
  
  3.2- 整合性チェックデーモンを実行しますか? (y/n) [y]: y  
  
   - syscheck を実行中 (整合性チェックデーモン)。  
  
  3.3- rootkit 検出エンジンを実行しますか? (y/n) [y]: y  
  
   - rootcheck を実行中 (rootkit 検出)。  
  
  3.4- アクティブレスポンスにより、受信したイベントに基づいて特定のコマンドを実行できます。たとえば、IP アドレスをブロックしたり、特定のユーザーのアクセスを無効にしたりできます。  
       詳細情報は次のリンクを参照してください:  
       http://www.ossec.net/en/manual.html#active-response  
  
   - アクティブレスポンスを有効にしますか? (y/n) [y]: y  
  
     - アクティブレスポンスが有効になりました。  
  
   - デフォルトでは、ホスト拒否とファイアウォールドロップのレスポンスを有効にできます。最初のものは /etc/hosts.deny にホストを追加し、2 番目のものは iptables（Linux の場合）または ipfilter（Solaris、FreeBSD、または NetBSD の場合）でホストをブロックします。  
   - これらは SSHD のブルートフォーススキャン、ポートスキャン、およびその他の攻撃の形態を停止するために使用できます。また、たとえば snort イベントでブロックするために追加することもできます。  
  
   - ファイアウォールドロップレスポンスを有効にしますか? (y/n) [y]: y  
  
     - ファイアウォールドロップが有効になりました (ローカル) レベル >= 6  
  
   - アクティブレスポンスのデフォルトホワイトリスト:  
      - 192.168.2.1  
  
   - ホワイトリストに追加する IP をもっと追加しますか? (y/n)? [n]: n  
  
  3.6- 次のログを分析するための設定:  
    -- /var/log/messages  
    -- /var/log/auth.log  
    -- /var/log/syslog  
    -- /var/log/mail.info  
    -- /var/log/apache2/error.log (apache log)  
    -- /var/log/apache2/access.log (apache log)  
  
 - 他のファイルを監視したい場合は、ossec.conf を変更し、新しい localfile エントリを追加してください。  
   設定に関する質問は、http://www.ossec.net を訪問することで回答できます。  
  
   --- 続行するには ENTER を押してください ---

#!/bin/sh
 
case "$1" in
start)
  /var/ossec/bin/ossec-control start
;;
stop)
  /var/ossec/bin/ossec-control stop
;;
restart)
  $0 stop && sleep 3
  $0 start
;;
reload)
  $0 stop
  $0 start
;;
*)
echo "Usage: $0 {start|stop|restart|reload}"
exit 1
esac

chmod +x /etc/init.d/ossec 

update-rc.d ossec defaults

 ...
yes

prelude-adduser registration-server prelude-manager

prelude-adduser register OSSEC "idmef:w" localhost --uid ossec --gid ossec