實驗名稱

OSSEC安裝實驗

實驗原理

OSSEC是著名的基於主機的IDS系統，基於主機的IDS系統與基於網絡的IDS是兩個完全不同的系統，其工作原理是根據主機的表現，進行監控。其有日志檢測、文件完整性檢測、后門檢測、主動響應等功能。

實驗環境

三台主機一台centos7.5 作為ossec 服務器

一台centos7.5 作為ossec 客戶端

一台Windows 作為web瀏覽器，查看OSSEC告警。

實驗目的

學會安裝OSSEC服務器與WRB頁面。

實驗步驟

一、安裝數據庫mysql

注意：實際上安裝的是mariadb yum install -y mysql

安裝mariadb服務 yum install -y mariadb-server

創建OSSEC數據庫

啟動mysql服務 systemctl start mariadb 連接mysql mysql

create database ossec; //創建數據庫 grant INSERT,SELECT,UPDATE,CREATE,DELETE,EXECUTE on ossec.* to ossec@localhost identified by '360College'; //創建用戶ossec，密碼為360College,並授權 flush privileges; //刷新權限 exit //退出數據庫

測試數據庫連接正常

mysql -u ossec -p

輸入密碼360College

show databases;

二、安裝OSSEC服務器

准備安裝環境

yum install php php-mysql httpd mysql-devel

下載OSSEC

wget -U ossec https://bintray.com/artifact/download/ossec/ossec-hids/ossec-hids-2.8.3.tar.gz

解壓OSSEC

tar -zxvf ossec-hids-2.8.3.tar.gz

安裝數據庫支持

cd ossec-hids-2.8.3 cd src;make setdb;cd..

開始安裝OSSEC

執行 ./install.sh 選擇中文安裝

選擇安裝服務器。

其它默認回車就行。

安裝完成

三、初始化數據庫

開啟數據庫支持

/var/ossec/bin/ossec-control enable database

導入數據庫表結構

mysql -u ossec -D ossec -p < src/os_dbd/mysql.schema 輸入密碼360College

四、修改OSEEC配置文件

添加權限 chmod u+w /var/ossec/etc/ossec.conf 修改文件 vim /var/ossec/etc/ossec.conf

 <database_output> <hostname>127.0.0.1</hostname> <username>ossec</username> <password>ossec</password> <database>360College</database> <type>mysql</type> </database_output>

注意添加上述配置時，不要插入到其它的配置中。

配置允許接收的syslogIP

  <remote> <connection>syslog</connection> <allowed-ips>192.168.0.0/24</allowed-ips> </remote>

五、添加ossec客戶端

/var/ossec/bin/manage_agents

導出客戶端密鑰

這個密鑰是客戶端安裝時必須的，需要記錄下來。我這里是 MDAxIGNlbnRvcy10ZXN0IDE5Mi4xNjguMC43NCAyZGM4MzZkZTY0YTVkNjI1YWNiZTczNDg5MzBhMzM5Zjg5MDViOGQ1ZDIwODY0ZWJhYThlYmVkYzA4OGMyNzg2

六、為OSSEC安裝WEB界面

curl -O https://codeload.github.com/ossec/ossec-wui/tar.gz/0.9 tar xzvf 0.9 cd ossec-wui-0.9/ cp -Rf * /var/www/html/ ./setup.sh

注意輸入對應信息用戶名 ossec 密碼 360College 重復密碼 360College WEB SERVER 用戶名:apache

七、安裝OSSEC客戶端

登錄客戶端機器 sudo -i 輸入密碼360College,切換成root用戶

下載OSSEC安裝包

wget -U ossec https://bintray.com/artifact/download/ossec/ossec-hids/ossec-hids-2.8.3.tar.gz

解壓並安裝

tar -zxvf ossec-hids-*.tar.gz cd ossec-hids-* ./install.sh

選擇agent安裝

輸入對應服務器IP

導入第五步中，服務生成的密鑰 /var/ossec/bin/manage_agents

安裝完成，啟動客戶端服務 /var/ossec/bin/ossec-control start

八、啟動服務器服務

切換到服務器操作 /var/ossec/bin/ossec-control start

systemctl start httpd

九、使用瀏覽器查看信息

登錄windows 使用web瀏覽器查看OSSEC信息

因為我們這里沒有配置過多的規則，所以沒有告警

實驗總結

OSSEC是開源IDS平台，其內置了很多優秀的規則，后述實驗我們會進一步詳解OSSEC的具體使用。

OSSEC安裝