Detecção de Intrusão: Snort (IDS), OSSEC (HbIDS) e Prelude (HIDS) no Ubuntu Gutsy Gibbon - Página 3

código fonte do ossec

cd /src  
wget http://www.ossec.net/files/ossec-hids-1.4.tar.gz  
tar xvzf ossec-hids-1.4.tar.gz
cd ossec-hids-xx  
cd src  
make setprelude
CPRELUDE=-DPRELUDE -lprelude -pthread -lgcc_s -L/usr/lib -lprelude -lgnutls -lgcrypt -lrt -ldl
cd ..   
./install.sh
1- Que tipo de instalação você deseja (servidor, agente, local ou ajuda)? local  
Escolha onde instalar o OSSEC HIDS [/var/ossec]:   
3- Configurando o OSSEC HIDS.  

  3.1- Você deseja notificação por e-mail? (s/n) [s]: s  
   - Qual é o seu endereço de e-mail? [email protected]  
   - Qual é o ip/host do seu servidor SMTP? seu endereço de servidor smtp (localhost)  

  3.2- Você deseja executar o daemon de verificação de integridade? (s/n) [s]: s  

   - Executando syscheck (daemon de verificação de integridade).  

  3.3- Você deseja executar o mecanismo de detecção de rootkits? (s/n) [s]: s  

   - Executando rootcheck (detecção de rootkit).  

  3.4- A resposta ativa permite que você execute um comando específico  
       com base nos eventos recebidos. Por exemplo,  
       você pode bloquear um endereço IP ou desabilitar o acesso para  
       um usuário específico.  
       Mais informações em:  
       http://www.ossec.net/en/manual.html#active-response  

   - Você deseja habilitar a resposta ativa? (s/n) [s]: s  

     - Resposta ativa habilitada.  

   - Por padrão, podemos habilitar as respostas host-deny e firewall-drop.  
     A primeira adicionará  
     um host ao /etc/hosts.deny e a segunda  
     bloqueará o host no iptables (se linux) ou no  
     ipfilter (se Solaris, FreeBSD ou NetBSD).  
   - Elas podem ser usadas para parar varreduras de força bruta do SSHD,  
     varreduras de portas e algumas outras formas de ataques. Você pode  
     também adicioná-las para bloquear em eventos do snort, por exemplo.  

   - Você deseja habilitar a resposta firewall-drop? (s/n) [s]: s  

     - firewall-drop habilitado (local) para níveis >= 6  

   - Lista branca padrão para a resposta ativa:  
      - 192.168.2.1  

   - Você deseja adicionar mais IPs à lista branca? (s/n)? [n]: n  

  3.6- Definindo a configuração para analisar os seguintes logs:  
    -- /var/log/messages  
    -- /var/log/auth.log  
    -- /var/log/syslog  
    -- /var/log/mail.info  
    -- /var/log/apache2/error.log (log do apache)  
    -- /var/log/apache2/access.log (log do apache)  

 - Se você quiser monitorar qualquer outro arquivo, basta alterar  
   o ossec.conf e adicionar uma nova entrada localfile.  
   Quaisquer perguntas sobre a configuração podem ser respondidas  
   visitando-nos online em http://www.ossec.net .  

   --- Pressione ENTER para continuar ---
#!/bin/sh

case "$1" in
start)
  /var/ossec/bin/ossec-control start
;;
stop)
  /var/ossec/bin/ossec-control stop
;;
restart)
  $0 stop && sleep 3
  $0 start
;;
reload)
  $0 stop
  $0 start
;;
*)
echo "Uso: $0 {start|stop|restart|reload}"
exit 1
esac
chmod +x /etc/init.d/ossec 
update-rc.d ossec defaults

 ...
yes

prelude-adduser registration-server prelude-manager
prelude-adduser register OSSEC "idmef:w" localhost --uid ossec --gid ossec

Detecção de Intrusão: Snort (IDS), OSSEC (HbIDS) e Prelude (HIDS) no Ubuntu Gutsy Gibbon - Página 3

Parte 3: Instalando e Configurando o Ossec

Receba novas postagens na sua caixa de entrada