침입 탐지: Snort (IDS), OSSEC (HbIDS) 및 Prelude (HIDS) 우분투 거츠 기븐 - 3페이지

cd /src  
wget http://www.ossec.net/files/ossec-hids-1.4.tar.gz  
tar xvzf ossec-hids-1.4.tar.gz

cd ossec-hids-xx  
cd src  
make setprelude

CPRELUDE=-DPRELUDE -lprelude -pthread -lgcc_s -L/usr/lib -lprelude -lgnutls -lgcrypt -lrt -ldl

cd ..   
./install.sh

1- 어떤 종류의 설치를 원하십니까 (서버, 에이전트, 로컬 또는 도움말)? local  

OSSEC HIDS를 설치할 위치를 선택하세요 [/var/ossec]:   

3- OSSEC HIDS 구성하기.  
  
  3.1- 이메일 알림을 원하십니까? (y/n) [y]: y  
   - 귀하의 이메일 주소는 무엇입니까? [email protected]  
   - 귀하의 SMTP 서버 ip/호스트는 무엇입니까? 귀하의 smtp 서버 주소 (localhost)  
  
  3.2- 무결성 검사 데몬을 실행하시겠습니까? (y/n) [y]: y  
   
   - syscheck 실행 (무결성 검사 데몬).  
  
  3.3- 루트킷 탐지 엔진을 실행하시겠습니까? (y/n) [y]: y  
   
   - rootcheck 실행 (루트킷 탐지).  
  
  3.4- 활성 응답은 수신된 이벤트에 따라 특정 명령을 실행할 수 있게 해줍니다. 예를 들어, IP 주소를 차단하거나 특정 사용자에 대한 접근을 비활성화할 수 있습니다.  
       자세한 정보는:  
       http://www.ossec.net/en/manual.html#active-response  
  
   - 활성 응답을 활성화하시겠습니까? (y/n) [y]: y  
     
     - 활성 응답이 활성화되었습니다.  
  
   - 기본적으로 호스트 거부 및 방화벽 차단 응답을 활성화할 수 있습니다. 첫 번째는 /etc/hosts.deny에 호스트를 추가하고 두 번째는 iptables에서 호스트를 차단합니다 (리눅스인 경우) 또는 ipfilter에서 차단합니다 (Solaris, FreeBSD 또는 NetBSD인 경우).  
   - SSHD 무차별 대입 공격, 포트 스캔 및 기타 공격 형태를 차단하는 데 사용할 수 있습니다. 예를 들어 snort 이벤트에서 차단하도록 추가할 수도 있습니다.  
  
   - 방화벽 차단 응답을 활성화하시겠습니까? (y/n) [y]: y  
     
     - 방화벽 차단이 활성화되었습니다 (로컬) 레벨 >= 6  
  
   - 활성 응답을 위한 기본 화이트리스트:  
      - 192.168.2.1  
  
   - 화이트리스트에 더 많은 IP를 추가하시겠습니까? (y/n)? [n]: n  
  
  3.6- 다음 로그를 분석하기 위한 구성 설정:  
    -- /var/log/messages  
    -- /var/log/auth.log  
    -- /var/log/syslog  
    -- /var/log/mail.info  
    -- /var/log/apache2/error.log (apache 로그)  
    -- /var/log/apache2/access.log (apache 로그)  
  
 - 다른 파일을 모니터링하려면 ossec.conf를 변경하고 새로운 localfile 항목을 추가하세요.  
   구성에 대한 질문은 http://www.ossec.net를 방문하여 답변을 받을 수 있습니다.  
  
   --- 계속하려면 ENTER를 누르세요 ---

#!/bin/sh
 
case "$1" in
start)
  /var/ossec/bin/ossec-control start
;;
stop)
  /var/ossec/bin/ossec-control stop
;;
restart)
  $0 stop && sleep 3
  $0 start
;;
reload)
  $0 stop
  $0 start
;;
*)
echo "Usage: $0 {start|stop|restart|reload}"
exit 1
esac

chmod +x /etc/init.d/ossec 

update-rc.d ossec defaults

 ...
yes

prelude-adduser registration-server prelude-manager

prelude-adduser register OSSEC "idmef:w" localhost --uid ossec --gid ossec