Ossec简单介绍
Ossec是一款非常强的主机IDS(hids),它可以帮我们分析日志,检查文件完整性,检查rootkit并且能够实时报警和主动响应。另外ossec几乎支持所有主流的操作系统,因为它是开源的,所以我们可以再ossec上面做二次开发跟我们已有的一些系统进行整合,比如zabbix,cacti。它的工作模式分为两种:C/S模式和local模式。local模式可以单独安装到一台机器上。本文将介绍C/S模式,这种模式在生产环境中最为适用。
Ossec的优点
开源
跨平台
支持无客户端模式
合规性需求
实时的和可配置的警报
集中管理
等等
Ossec的主要功能
日志分析
文件完整性检查(UNIX和Windows)
rootkit检测
Windows注册表监测
基于UNIX的rootkit检测
实时报警和主动响应
检查磁盘空间及系统负载
检测主机端口变化
支持nmap检查端口开放及变更情况
可以检测域名变化情况
等等
默认安装在 /var/ossec/
主配置文件在 /var/ossec/etc/ossec.conf
×××存储在/var/ossec/etc/decoders.xml
二进制文件 /var/ossec/bin/
所有的规则都在/var/ossec/rules/*.xml
警报存储在 /var/ossec/logs/alerts.log
由多个进程控制(所有控制通过ossec-control)
Ossec Server服务器的进程
[root@localhost ~]# ps -ef |grep ossec
ossecm 5505 1 0 13:21 ? 00:00:00 /var/ossec/bin/ossec-dbd
ossecm 5510 1 0 13:21 ? 00:00:00 /var/ossec/bin/ossec-maild
root 5512 1 0 13:21 ? 00:00:00 /var/ossec/bin/ossec-execd
ossec 5518 1 0 13:21 ? 00:00:12 /var/ossec/bin/ossec-analysisd
root 5522 1 0 13:21 ? 00:00:00 /var/ossec/bin/ossec-logcollector
ossecr 5526 1 0 13:21 ? 00:00:00 /var/ossec/bin/ossec-remoted
ossecr 5527 1 0 13:21 ? 00:00:01 /var/ossec/bin/ossec-remoted
root 5534 1 0 13:21 ? 00:00:18 /var/ossec/bin/ossec-syscheckd
ossec 5536 1 0 13:21 ? 00:00:00 /var/ossec/bin/ossec-monitord
[root@localhost ~]# /var/ossec/bin/ossec-control status
ossec-monitord is running...
ossec-logcollector is running...
ossec-remoted is running...
ossec-syscheckd is running...
ossec-analysisd is running...
ossec-maild is running...
ossec-execd is running...
ossec-dbd is running...
每个进程的任务
Analysisd – 做所有的分析(主程序)
Remoted – 从代理接收远程日志
Logcollector –读取日志文件(syslog,平面文件,Windows事件日志,IIS,等)
Agentd –转发日志服务器
Maild – 发送电子邮件警报
Execd – 执行积极的反应
Monitord - 监视代理状态下,压缩和标志的日志文件,等
ossec-control 管理启动和停止他们的所有
ossec local:普通日志故障分析流程
日志采集由ossec-logcollector做
分析和解码是通过 ossec-analysisd 做
报警是通过ossec-maild 做
积极响应由 ossec-execd 做
client/server:客户/服务器体系结构的通用日志分析流程
日志采集由ossec-logcollector做
分析和解码是通过 ossec-analysisd 做
报警是通过ossec-maild 做
积极响应由 ossec-execd 做
免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。