Обнаружение вторжений: Snort (IDS), OSSEC (HbIDS) и Prelude (HIDS) на Ubuntu Gutsy Gibbon - Страница 3

исходный код ossec

cd /src  
wget http://www.ossec.net/files/ossec-hids-1.4.tar.gz  
tar xvzf ossec-hids-1.4.tar.gz
cd ossec-hids-xx  
cd src  
make setprelude
CPRELUDE=-DPRELUDE -lprelude -pthread -lgcc_s -L/usr/lib -lprelude -lgnutls -lgcrypt -lrt -ldl
cd ..   
./install.sh
1- Какой тип установки вы хотите (сервер, агент, локальная или помощь)? local  
Выберите, где установить OSSEC HIDS [/var/ossec]:   
3- Настройка OSSEC HIDS.  
  3.1- Хотите ли вы уведомление по электронной почте? (y/n) [y]: y  
   - Какой ваш адрес электронной почты? [email protected]  
   - Какой ваш SMTP сервер ip/host? адрес вашего smtp сервера (localhost)  

  3.2- Хотите ли вы запустить демон проверки целостности? (y/n) [y]: y  

   - Запуск syscheck (демон проверки целостности).  

  3.3- Хотите ли вы запустить движок обнаружения руткитов? (y/n) [y]: y  

   - Запуск rootcheck (обнаружение руткитов).  

  3.4- Активный ответ позволяет вам выполнять конкретную  
       команду на основе полученных событий. Например,  
       вы можете заблокировать IP-адрес или отключить доступ для  
       конкретного пользователя.  
       Дополнительная информация на:  
       http://www.ossec.net/en/manual.html#active-response  

   - Хотите ли вы включить активный ответ? (y/n) [y]: y  

     - Активный ответ включен.  

   - По умолчанию мы можем включить host-deny и  
     firewall-drop ответы. Первый добавит  
     хост в /etc/hosts.deny, а второй  
     заблокирует хост на iptables (если linux) или на  
     ipfilter (если Solaris, FreeBSD или NetBSD).  
   - Их можно использовать для остановки брутфорс-сканирования SSHD,  
     портсканирования и некоторых других форм атак. Вы также  
     можете добавить их для блокировки на событиях snort, например.  

   - Хотите ли вы включить ответ firewall-drop? (y/n) [y]: y  

     - firewall-drop включен (локально) для уровней >= 6  

   - Белый список по умолчанию для активного ответа:  
      - 192.168.2.1  

   - Хотите ли вы добавить больше IP-адресов в белый список? (y/n)? [n]: n  

  3.6- Установка конфигурации для анализа следующих журналов:  
    -- /var/log/messages  
    -- /var/log/auth.log  
    -- /var/log/syslog  
    -- /var/log/mail.info  
    -- /var/log/apache2/error.log (журнал apache)  
    -- /var/log/apache2/access.log (журнал apache)  

 - Если вы хотите отслеживать любой другой файл, просто измените  
   ossec.conf и добавьте новую запись localfile.  
   Любые вопросы о конфигурации можно решить,  
   посетив нас онлайн на http://www.ossec.net .  

   --- Нажмите ENTER, чтобы продолжить ---
#!/bin/sh

case "$1" in
start)
  /var/ossec/bin/ossec-control start
;;
stop)
  /var/ossec/bin/ossec-control stop
;;
restart)
  $0 stop && sleep 3
  $0 start
;;
reload)
  $0 stop
  $0 start
;;
*)
echo "Usage: $0 {start|stop|restart|reload}"
exit 1
esac
chmod +x /etc/init.d/ossec 
update-rc.d ossec defaults

 ...
yes

prelude-adduser registration-server prelude-manager
prelude-adduser register OSSEC "idmef:w" localhost --uid ossec --gid ossec

Обнаружение вторжений: Snort (IDS), OSSEC (HbIDS) и Prelude (HIDS) на Ubuntu Gutsy Gibbon - Страница 3

Часть 3: Установка и настройка Ossec

Get new posts in your inbox