👦🏻 👨🏼‍🚒 🧗🏿 OSSEC: बिग ब्रदर आपको देख रहा है 👩🏻‍🏭 🌱 👈🏿

शायद मैं गलत नहीं होगा अगर मैं कहता हूं कि किसी भी पेशेवर सिस्टम प्रशासक के लिए यह जानना महत्वपूर्ण है कि उसके सर्वर के साथ क्या और कब हो रहा है। यह मुद्दा विशेष रूप से सूचना सुरक्षा के क्षेत्र में तीव्र है।
इस पोस्ट में, मैं आपको OSSEC नामक होस्ट-आधारित IDS की तैनाती के लिए, सहकर्मियों से मिलवाना चाहता हूं। कृपया, बिल्ली के नीचे ...

सिद्धांत

घुसपैठ का पता लगाने की प्रणाली (आईडीएस) - सॉफ्टवेयर (हमारे मामले में) या किसी कंप्यूटर सिस्टम या नेटवर्क पर अनधिकृत पहुंच (घुसपैठ या नेटवर्क हमले) का पता लगाने के लिए डिज़ाइन किया गया हार्डवेयर।

आईडी के साथ प्राप्त लक्ष्य:

सबसे महत्वपूर्ण बात एक घुसपैठ या नेटवर्क हमले का पता लगाना है
संभावित घुसपैठ की भविष्यवाणी - एक हमलावर आमतौर पर आपकी सुरक्षा की जांच करते समय कई कार्रवाई करता है, यह एक निशान छोड़ देगा
नेटवर्क सुरक्षा (विशेष रूप से बड़े और वितरित) पर केंद्रीकृत नियंत्रण प्रदान करें
कई अन्य लक्ष्य आप खुद सोच सकते हैं :)

आईडीएस सिस्टम को नेटवर्क-आधारित और होस्ट-आधारित में विभाजित किया गया है।

नेटवर्क-आधारित IDS नेटवर्क पैकेट को कैप्चर और विश्लेषण करके हमलों का पता लगाता है। नेटवर्क सेगमेंट को सुनकर, NIDS नेटवर्क सेगमेंट से जुड़े कई होस्ट्स से नेटवर्क ट्रैफ़िक देख सकता है, और इस प्रकार इन होस्ट्स की सुरक्षा कर सकता है।

एक कंप्यूटर के अंदर एकत्रित जानकारी के साथ होस्ट-आधारित आईडीएस सौदा। इस तरह के एक अनुकूल स्थान HIDS को बड़ी विश्वसनीयता और सटीकता के साथ गतिविधि का विश्लेषण करने की अनुमति देता है, केवल उन प्रक्रियाओं और उपयोगकर्ताओं की पहचान करता है जो ओएस में किसी विशेष हमले के लिए प्रासंगिक हैं। एनआईडी आमतौर पर दो प्रकार के सूचना स्रोतों का उपयोग करता है: ओएस ऑडिट परिणाम और सिस्टम लॉग।

OSSEC HIDS है, लेकिन सर्वर <-> एजेंटों की वास्तुकला पर काम करने की क्षमता है। हमारे मामले में, हम इस तरह की एक योजना पर विचार करेंगे।

स्रोत डेटा

मान लीजिए हमारे पास एक निश्चित कॉर्पोरेट नेटवर्क है जिसमें सर्वर के साथ एक डीएमजेड ज़ोन है, जिसे हम बारीकी से निगरानी करना चाहते हैं।
सभी सर्वर CentOS 6.x के अंतर्गत काम करते हैं (वास्तव में, किसी भी वितरण के लिए स्थापना संभव है, जिसमें अन्य OS भी शामिल हैं, जैसे कि Windows)
DMZ में कोई सर्वर नहीं है, जिस पर हम OSSEC एजेंटों से सभी जानकारी एकत्र करेंगे।

स्थापना

सबसे पहले, OSSEC सर्वर को स्वयं स्थापित करें।

wget -q -O - https://www.atomicorp.com/installers/atomic |sh && yum install ossec-hids ossec-hids-server

हम पुष्टिकरण में सभी सवालों का जवाब देते हैं, यम के पूरा होने के बाद, हमें ओएसएसएसईसी की एक कार्यशील स्थापना मिलती है।
सभी OSSEC फाइलें / var / ossec में संग्रहित हैं। फ़ाइल खोलना /var /ossec/ossec.conf और इसे निम्न रूप में लाएँ:

 <ossec_config> <global> <email_notification>yes</email_notification> <email_to>root@domain.local</email_to> <smtp_server>smtp.domain.local</smtp_server> <email_from>osssec@domain.local</email_from> <email_maxperhour>200</email_maxperhour> </global> <rules> <include>rules_config.xml</include> <include>pam_rules.xml</include> <include>sshd_rules.xml</include> <include>telnetd_rules.xml</include> <include>syslog_rules.xml</include> <include>arpwatch_rules.xml</include> <include>symantec-av_rules.xml</include> <include>symantec-ws_rules.xml</include> <include>pix_rules.xml</include> <include>named_rules.xml</include> <include>smbd_rules.xml</include> <include>vsftpd_rules.xml</include> <include>pure-ftpd_rules.xml</include> <include>proftpd_rules.xml</include> <include>ms_ftpd_rules.xml</include> <include>ftpd_rules.xml</include> <include>hordeimp_rules.xml</include> <include>roundcube_rules.xml</include> <include>wordpress_rules.xml</include> <include>cimserver_rules.xml</include> <include>vpopmail_rules.xml</include> <include>vmpop3d_rules.xml</include> <include>courier_rules.xml</include> <include>web_rules.xml</include> <include>web_appsec_rules.xml</include> <include>apache_rules.xml</include> <include>nginx_rules.xml</include> <include>php_rules.xml</include> <include>mysql_rules.xml</include> <include>postgresql_rules.xml</include> <include>ids_rules.xml</include> <include>squid_rules.xml</include> <include>firewall_rules.xml</include> <include>cisco-ios_rules.xml</include> <include>netscreenfw_rules.xml</include> <include>sonicwall_rules.xml</include> <include>postfix_rules.xml</include> <include>sendmail_rules.xml</include> <include>imapd_rules.xml</include> <include>mailscanner_rules.xml</include> <include>dovecot_rules.xml</include> <include>ms-exchange_rules.xml</include> <include>racoon_rules.xml</include> <include>vpn_concentrator_rules.xml</include> <include>spamd_rules.xml</include> <include>msauth_rules.xml</include> <include>mcafee_av_rules.xml</include> <include>trend-osce_rules.xml</include> <include>ms-se_rules.xml</include> <!-- <include>policy_rules.xml</include> --> <include>zeus_rules.xml</include> <include>solaris_bsm_rules.xml</include> <include>vmware_rules.xml</include> <include>ms_dhcp_rules.xml</include> <include>asterisk_rules.xml</include> <include>ossec_rules.xml</include> <include>attack_rules.xml</include> <include>openbsd_rules.xml</include> <include>clam_av_rules.xml</include> <include>bro-ids_rules.xml</include> <include>dropbear_rules.xml</include> <include>local_rules.xml</include> </rules> <syscheck> <!-- Frequency that syscheck is executed - default to every 22 hours --> <frequency>79200</frequency> <!-- Directories to check (perform all possible verifications) --> <directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories> <directories check_all="yes">/bin,/sbin</directories> <!-- Files/directories to ignore --> <ignore>/etc/mtab</ignore> <ignore>/etc/mnttab</ignore> <ignore>/etc/hosts.deny</ignore> <ignore>/etc/mail/statistics</ignore> <ignore>/etc/random-seed</ignore> <ignore>/etc/adjtime</ignore> <ignore>/etc/httpd/logs</ignore> <ignore>/etc/utmpx</ignore> <ignore>/etc/wtmpx</ignore> <ignore>/etc/cups/certs</ignore> <ignore>/etc/dumpdates</ignore> <ignore>/etc/svc/volatile</ignore> </syscheck> <rootcheck> <rootkit_files>/var/ossec//etc/shared/rootkit_files.txt</rootkit_files> <rootkit_trojans>/var/ossec//etc/shared/rootkit_trojans.txt</rootkit_trojans> <system_audit>/var/ossec//etc/shared/system_audit_rcl.txt</system_audit> <system_audit>/var/ossec//etc/shared/cis_rhel_linux_rcl.txt</system_audit> <system_audit>/var/ossec//etc/shared/cis_rhel5_linux_rcl.txt</system_audit> </rootcheck> <global> <white_list>127.0.0.1</white_list> <white_list>^localhost.localdomain$</white_list> </global> <remote> <connection>syslog</connection> </remote> <remote> <connection>secure</connection> </remote> <alerts> <log_alert_level>1</log_alert_level> <email_alert_level>7</email_alert_level> </alerts> <command> <name>host-deny</name> <executable>host-deny.sh</executable> <expect>srcip</expect> <timeout_allowed>yes</timeout_allowed> </command> <command> <name>firewall-drop</name> <executable>firewall-drop.sh</executable> <expect>srcip</expect> <timeout_allowed>yes</timeout_allowed> </command> <command> <name>disable-account</name> <executable>disable-account.sh</executable> <expect>user</expect> <timeout_allowed>yes</timeout_allowed> </command> <command> <name>restart-ossec</name> <executable>restart-ossec.sh</executable> <expect></expect> </command> <command> <name>route-null</name> <executable>route-null.sh</executable> <expect>srcip</expect> <timeout_allowed>yes</timeout_allowed> </command> <!-- Active Response Config --> <active-response> <!-- This response is going to execute the host-deny - command for every event that fires a rule with - level (severity) >= 6. - The IP is going to be blocked for 600 seconds. --> <command>host-deny</command> <location>local</location> <level>6</level> <timeout>600</timeout> </active-response> <active-response> <!-- Firewall Drop response. Block the IP for - 600 seconds on the firewall (iptables, - ipfilter, etc). --> <command>firewall-drop</command> <location>local</location> <level>6</level> <timeout>600</timeout> </active-response> <localfile> <log_format>syslog</log_format> <location>/var/log/messages</location> </localfile> <localfile> <log_format>syslog</log_format> <location>/var/log/secure</location> </localfile> <localfile> <log_format>syslog</log_format> <location>/var/log/xferlog</location> </localfile> <localfile> <log_format>syslog</log_format> <location>/var/log/maillog</location> </localfile> <localfile> <log_format>apache</log_format> <location>/var/log/httpd/error_log</location> </localfile> <localfile> <log_format>apache</log_format> <location>/var/log/httpd/access_log</location> </localfile> </ossec_config>

देखते हैं कि क्या है। शुरुआत में, हम मेल को अलर्ट भेजते हैं, जिसमें सर्वर का पता, मेलिंग का पता और प्रति घंटे अधिकतम संभव पत्र दिखाई देते हैं। डिफ़ॉल्ट रूप से, OSSEC समूहों की घटनाओं ताकि आप पत्रों की एक धारा के साथ बाढ़ न करें।
इसके बाद नियम ब्लॉक आता है, जो बताता है कि OSSEC क्या और कैसे प्रतिक्रिया देगा - आप अपनी गति से सब कुछ छोड़ सकते हैं, मेरी टिप्पणियों के अनुसार, प्रभावित नहीं है। Syscheck अनुभाग तथाकथित अखंडता जांच के लिए सेटिंग्स है। इसका अर्थ यह है कि IDS निर्दिष्ट निर्देशिकाओं में प्रत्येक फ़ाइल के हैश की गणना करता है और समय-समय पर उनकी जाँच करता है। यहां हमने यह निर्धारित किया कि हम कौन सी निर्देशिकाओं को नियंत्रित करेंगे और कितने समय के बाद चेक का प्रदर्शन करेंगे। कमांड अनुभाग उन लिपियों का वर्णन करता है जो आईडीएस कुछ शर्तों के होने पर उपयोग कर सकते हैं। सक्रिय-प्रतिक्रिया अनुभाग केवल इन आदेशों का उपयोग करता है। उदाहरण के लिए, जब एक निश्चित नियम चालू हो जाता है, तो फ़ायरवॉल-ब्लॉक 600 सेकंड के लिए iptables में src ip लगाएगा। यह जानवर बल से उपयोग करने के लिए सुविधाजनक है। बहुत अंत में, हमारे पास वास्तविक लॉग फाइलें हैं जिनका विश्लेषण करना और नियमों के साथ तुलना करना आवश्यक है।
इस पर, OSSEC के सर्वर भाग का मोटा विन्यास समाप्त हो गया है और हम इसे चला सकते हैं:

 service ossec-hids start

यदि सफल होता है, तो एक पत्र मेलिंग पते पर भेजा जाएगा जिसे आपने लॉन्च के बारे में एक संदेश के साथ संकेत दिया था:

 OSSEC HIDS Notification. 2013 Sep 06 13:10:35 Received From: server.domain.local->ossec-monitord Rule: 502 fired (level 3) -> "Ossec server started." Portion of the log(s): ossec: Ossec started. --END OF NOTIFICATION

यदि प्रक्षेपण विफल हो गया, तो त्रुटियों के लिए कॉन्फ़िगरेशन को फिर से जांचें। इसमें मदद फ़ाइल /var/ossec/logs/ossec.log होगी ।

वेब आधारित स्थापना

वेब इंटरफ़ेस काफी आदिम है, लेकिन सुविधा के लिए, आप इंस्टॉल कर सकते हैं

 wget –c http://www.ossec.net/files/ossec-wui-0.3.tar.gz tar xzvf ossec-wui-0.3.tar.gz mv ossec-wui-0.3 /var/www/html/ossec cd /var/www/html/ossec/ ./setup.sh

यहां आपको क्रमशः एक उपयोगकर्ता नाम और पासवर्ड दर्ज करना होगा ।htaccess फ़ाइल बनाई जाएगी। अब अपाचे समूह में ossec उपयोगकर्ता जोड़ें

 nano /etc/group ossec:x:494:ossec,ossecr,ossecm,ossece,apache service httpd restart

हम एक ब्राउज़र के साथ हमारे पृष्ठ पर जाएंगे, फिर tmp फ़ोल्डर अधिकार देंगे:

 chmod 770 /var/www/html/ossec/tmp chgrp apache /var/www/html/ossec/tmp

अब हम OSSEC में लॉग इन की गई घटनाओं को देख सकते हैं और एक सरल इंटरफ़ेस का उपयोग कर सकते हैं।

एजेंट स्थापना

DMZ में सर्वर पर एजेंट स्थापित करें

 wget -q -O - https://www.atomicorp.com/installers/atomic |sh && yum install ossec-hids ossec-hids-client

फ़ाइल /var/ossec/ossec.conf संपादित करें और इसे निम्न रूप में लाएँ:

 <ossec_config> <client> <server-ip><b>server.domain.local</b></server-ip> </client> <syscheck> <!-- Frequency that syscheck is executed -- default every 2 hours --> <frequency>7200</frequency> <!-- Directories to check (perform all possible verifications) --> <directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories> <directories check_all="yes">/bin,/sbin</directories> <!-- Files/directories to ignore --> <ignore>/etc/mtab</ignore> <ignore>/etc/mnttab</ignore> <ignore>/etc/hosts.deny</ignore> <ignore>/etc/mail/statistics</ignore> <ignore>/etc/random-seed</ignore> <ignore>/etc/adjtime</ignore> <ignore>/etc/httpd/logs</ignore> <ignore>/etc/utmpx</ignore> <ignore>/etc/wtmpx</ignore> <ignore>/etc/cups/certs</ignore> </syscheck> <rootcheck> <rootkit_files>/var/ossec/etc/shared/rootkit_files.txt</rootkit_files> <rootkit_trojans>/var/ossec/etc/shared/rootkit_trojans.txt</rootkit_trojans> </rootcheck> <localfile> <log_format>syslog</log_format> <location>/var/log/messages</location> </localfile> <localfile> <log_format>syslog</log_format> <location>/var/log/secure</location> </localfile> <localfile> <log_format>syslog</log_format> <location>/var/log/maillog</location> </localfile> <localfile> <log_format>apache</log_format> <location>/var/log/httpd/error_log</location> </localfile> <localfile> <log_format>apache</log_format> <location>/var/log/httpd/access_log</location> </localfile> <localfile> <log_format>syslog</log_format> <location>/var/log/proftpd/error.log</location> </localfile> </ossec_config>

जैसा कि आप देख सकते हैं, यह कॉन्फ़िगर एक फसली सर्वर के समान है। यहां आपको जो मुख्य बात निर्दिष्ट करने की आवश्यकता है वह ओएसएसईसी सर्वर और लॉग फाइलों का वास्तविक पता है। मैंने उदाहरण के लिए proftpd लॉग फ़ाइल को जोड़ा।
UDP / 1514 पोर्ट पर क्लाइंट और सर्वर के बीच संचार होता है, इसे खोलना न भूलें!

हमें इंस्टॉलेशन और कॉन्फ़िगरेशन के साथ किया जाता है, अब हमें सर्वर को एजेंट से कनेक्ट करने की आवश्यकता है। ऐसा करने के लिए, सर्वर पर विशेष उपयोगिता / var / ossec / bin / manage_agents चलाएं

 **************************************** * OSSEC HIDS v2.7 Agent manager. * * The following options are available: * **************************************** (A)dd an agent (A). (E)xtract key for an agent (E). (L)ist already added agents (L). (R)emove an agent (R). (Q)uit. Choose your action: A,E,L,R or Q: a - Adding a new agent (use '\q' to return to the main menu). Please provide the following: * A name for the new agent: ftp-server * The IP Address of the new agent: 192.168.0.2 * An ID for the new agent[001]: Agent information: ID:001 Name:ftp-server IP Address:192.168.0.2 Confirm adding it?(y/n): y Agent added. **************************************** * OSSEC HIDS v2.7 Agent manager. * * The following options are available: * **************************************** (A)dd an agent (A). (E)xtract key for an agent (E). (L)ist already added agents (L). (R)emove an agent (R). (Q)uit. Choose your action: A,E,L,R or Q: e Available agents: ID: 001, Name: ftp-server, IP: 192.168.0.2 Provide the ID of the agent to extract the key (or '\q' to quit): 001 Agent key information for '001' is: MDA3IGZ0cC1zZXJ1ZXIgMTkyLjE2OC4wLjIgOTQyODg5ODg2NDI5MGNiYTkzYTU1N2I5Yzg5OWTwNTJhNzQ2ZDdlYmNkNzM3NGYyZWQyZGQyZmFlNjdjMjZmOA== ** Press ENTER to return to the main menu. **************************************** * OSSEC HIDS v2.7 Agent manager. * * The following options are available: * **************************************** (A)dd an agent (A). (E)xtract key for an agent (E). (L)ist already added agents (L). (R)emove an agent (R). (Q)uit. Choose your action: A,E,L,R or Q: q ** You must restart OSSEC for your changes to take effect. manage_agents: Exiting ..

जैसा कि आप देख सकते हैं, सब कुछ सरल है। परिणाम BASE64 स्ट्रिंग होगा, जिसे आपको एजेंट को कॉपी और पेस्ट करना होगा। सर्वर को पुनरारंभ करने के लिए मत भूलना:

 service ossec-hid restart

अब एजेंट पर कमांड / var / ossec / bin / manage_client चलाएं :

 **************************************** * OSSEC HIDS v2.7 Agent manager. * * The following options are available: * **************************************** (I)mport key from the server (I). (Q)uit. Choose your action: I or Q: i * Provide the Key generated by the server. * The best approach is to cut and paste it. *** OBS: Do not include spaces or new lines. Paste it here (or '\q' to quit): MDA3IGZ0cC1zZXJ1ZXIgMTkyLjE2OC4wLjIgOTQyODg5ODg2NDI5MGNiYTkzYTU1N2I5Yzg5OWTwNTJhNzQ2ZDdlYmNkNzM3NGYyZWQyZGQyZmFlNjdjMjZmOA== ** Press ENTER to return to the main menu. **************************************** * OSSEC HIDS v2.7 Agent manager. * * The following options are available: * **************************************** (I)mport key from the server (I). (Q)uit. Choose your action: I or Q: q manage_agents: Exiting ..

एजेंट को पुनरारंभ करें:

 service ossec-hid restart

हम सर्वर कंसोल पर जाते हैं और सत्यापित करते हैं कि एजेंट जुड़ा हुआ है:

 /var/ossec/bin/list_agents -a ftp-server-192.168.0.2 is available.

इस पर सेटिंग को पूर्ण माना जा सकता है। आगे क्या करना है? OSSEC एक बहुत ही लचीला और शक्तिशाली आईडीएस है। आप अपने स्वयं के नियम लिख सकते हैं - उनका प्रारूप बहुत सरल है। आप सर्वर से एजेंटों का प्रबंधन कर सकते हैं, उन्हें उसी जगह से एक कॉन्फ़िगरेशन प्रदान कर सकते हैं, आईडीएस को दूसरे आईडीएस के साथ जोड़ सकते हैं (उदाहरण के लिए, निड्स स्नॉर्ट के साथ) और बहुत कुछ।
यदि आपने सब कुछ सही किया है, तो अब आप फ़ाइल स्तर पर होने वाले सभी परिवर्तनों और संभावित हमलों को नियंत्रित कर सकते हैं।

OSSEC: बिग ब्रदर आपको देख रहा है

सिद्धांत

स्रोत डेटा

स्थापना

वेब आधारित स्थापना

एजेंट स्थापना

संदर्भ

More articles: