Cómo instalar OSSEC HIDS en un servidor CentOS 7

• Introducción
• Prerrequisitos
• Paso 1: Instale los paquetes requeridos
• Paso 2: descargue y verifique OSSEC
• Paso 3: Determine su servidor SMTP
• Paso 4: instalar OSSEC
• Paso 5: Inicie OSSEC
• Paso 6: Personaliza OSSEC
• Más información

Introducción

OSSEC es un sistema de detección de intrusos (HIDS) de código abierto que realiza análisis de registros, verificación de integridad, monitoreo de registro de Windows, detección de rootkits, alertas basadas en tiempo y respuesta activa. Es una aplicación de seguridad imprescindible en cualquier servidor.

OSSEC puede instalarse para monitorear solo el servidor en el que está instalado (una instalación local), o instalarse como un servidor para monitorear uno o más agentes. En este tutorial, aprenderá cómo instalar OSSEC para monitorear CentOS 7 como una instalación local.

Prerrequisitos

• Un servidor CentOS 7 configurado preferiblemente con claves SSH y personalizado mediante la configuración inicial de un servidor CentOS 7 . Inicie sesión en el servidor utilizando la cuenta de usuario estándar. Suponga que el nombre de usuario es joe .

  ssh -l joe server-ip-address
  

Paso 1: Instale los paquetes requeridos

OSSEC se compilará desde la fuente, por lo que necesita un compilador para que eso sea posible. También requiere un paquete adicional para notificaciones. Instálelos escribiendo:

sudo yum install -y gcc inotify-tools

Paso 2: descargue y verifique OSSEC

OSSEC se entrega como un tarball comprimido que debe descargarse del sitio web del proyecto. El archivo de suma de comprobación, que se utilizará para verificar que el tarball no ha sido alterado, también debe descargarse. En el momento de esta publicación, la última versión de OSSEC es 2.8.2. Consulte la página de descarga del proyecto y descargue la versión más reciente.

Para descargar el tarball, escriba:

wget -U ossec http://www.ossec.net/files/ossec-hids-2.8.2.tar.gz

Para el archivo de suma de comprobación, escriba:

wget -U ossec http://www.ossec.net/files/ossec-hids-2.8.2-checksum.txt

Con ambos archivos descargados, el siguiente paso es verificar las sumas de verificación MD5 y SHA1 del tarball. Para MD5sum, escriba:

md5sum -c ossec-hids-2.8.2-checksum.txt

El resultado esperado es:

ossec-hids-2.8.2.tar.gz: OK
md5sum: WARNING: 1 line is improperly formatted

Para verificar el hash SHA1, escriba:

sha1sum -c ossec-hids-2.8.2-checksum.txt

Y su salida esperada es:

ossec-hids-2.8.2.tar.gz: OK
sha1sum: WARNING: 1 line is improperly formatted

Paso 3: Determine su servidor SMTP

Durante el proceso de instalación de OSSEC, se le solicitará que especifique un servidor SMTP para su dirección de correo electrónico. Si no sabe qué es, el método más fácil de averiguar es emitir este comando desde su máquina local (reemplace la dirección de correo electrónico falsa por la real):

dig -t mx [email protected]

La sección relevante en la salida se muestra en este bloque de código. En este resultado de muestra, el servidor SMTP para la dirección de correo electrónico consultada se encuentra al final de la línea: mail.vivaldi.net. . Tenga en cuenta que el punto al final está incluido.

;; ANSWER SECTION:
vivaldi.net.        300 IN  MX  10 mail.vivaldi.net.

Paso 4: instalar OSSEC

Para instalar OSSEC, primero debes descomprimir el tarball, lo que haces escribiendo:

tar xf ossec-hids-2.8.2.tar.gz

Se desempaquetará en un directorio que lleve el nombre y la versión del programa. Cambiar o cden ello. OSSEC 2.8.2, la versión instalada para este artículo, tiene un error menor que debe corregirse antes de comenzar la instalación. Para cuando se lance la próxima versión estable, que debería ser OSSEC 2.9, esto no debería ser necesario, porque la solución ya está en la rama maestra. Arreglarlo para OSSEC 2.8.2 solo significa editar un archivo, que se encuentra en el active-responsedirectorio. El archivo es hosts-deny.sh, así que ábralo usando:

nano active-response/hosts-deny.sh

Hacia el final del archivo, busque este bloque de código:

# Deleting from hosts.deny
elif [ "x$" = "xdelete" ]; then
   lock;
   TMP_FILE = `mktemp /var/ossec/ossec-hosts.XXXXXXXXXX`
   if [ "X$" = "X" ]; then
      # Cheap fake tmpfile, but should be harder then no random data
      TMP_FILE = "/var/ossec/ossec-hosts.`cat /dev/urandom | tr -dc 'a-zA-Z0-9' | fold -w 32 | head -1 `"
   fi

En las líneas que comienzan con TMP_FILE , elimine los espacios alrededor del signo = . Después de eliminar los espacios, esa parte del archivo debe ser como se muestra en el bloque de código a continuación. Guarde y cierre el archivo.

# Deleting from hosts.deny
elif [ "x$" = "xdelete" ]; then
   lock;
   TMP_FILE=`mktemp /var/ossec/ossec-hosts.XXXXXXXXXX`
   if [ "X$" = "X" ]; then
      # Cheap fake tmpfile, but should be harder then no random data
      TMP_FILE="/var/ossec/ossec-hosts.`cat /dev/urandom | tr -dc 'a-zA-Z0-9' | fold -w 32 | head -1 `"
   fi

Ahora que la solución está activa, podemos comenzar el proceso de instalación, lo que debe hacer escribiendo:

sudo ./install.sh

A lo largo del proceso de instalación, se le pedirá que proporcione alguna información. En la mayoría de los casos, solo tiene que presionar ENTRAR para aceptar el valor predeterminado. Primero, se le pedirá que seleccione el idioma de instalación, que de forma predeterminada es el inglés (en). Entonces presione ENTER si ese es su idioma preferido. De lo contrario, ingrese las 2 letras de la lista de idiomas admitidos. Luego, presione ENTER nuevamente.

La primera pregunta le preguntará qué tipo de instalación desea. Aquí, ingrese local .

1- What kind of installation do you want (server, agent, local, hybrid or help)? local

Para preguntas posteriores, presione ENTRAR para aceptar el valor predeterminado. La pregunta 3.1 le pedirá su dirección de correo electrónico y luego le pedirá su servidor SMTP. Para esa pregunta, ingrese una dirección de correo electrónico válida y el servidor SMTP que determinó en el Paso 3.

3- Configuring the OSSEC HIDS.

   3.1- Do you want e-mail notification? (y/n) [y]: 
      - What's your e-mail address? [email protected]
      - What's your SMTP server ip/host?

Si la instalación se realiza correctamente, debería ver esta salida:

- Configuration finished properly.

...

    More information can be found at http://www.ossec.net

    ---  Press ENTER to finish (maybe more information below). ---

Presione ENTER para finalizar la instalación.

Paso 5: Inicie OSSEC

OSSEC se ha instalado, pero no se ha iniciado. Para iniciarlo, primero cambie a la cuenta raíz.

sudo su

Luego, comience emitiendo el siguiente comando.

/var/ossec/bin/ossec-control start

Luego, revise su Bandeja de entrada. Debería haber una alerta de OSSEC informándole que se ha iniciado. Con eso, ahora sabe que OSSEC está instalado y enviará alertas según sea necesario.

Paso 6: Personaliza OSSEC

La configuración predeterminada de OSSEC funciona bien, pero hay configuraciones que puede ajustar para proteger mejor su servidor. El primer archivo a personalizar es el archivo de configuración principal ossec.conf, que encontrará en el /var/ossec/etcdirectorio. Abre el archivo:

nano /var/ossec/etc/ossec.conf

El primer elemento para verificar es una configuración de correo electrónico, que encontrará en la sección global del archivo:

<global>
   <email_notification>yes</email_notification>
   <email_to>[email protected]</email_to>
   <smtp_server>mail.vivaldi.net.</smtp_server>
   <email_from>[email protected]</email_from>
</global>

Asegúrese de que la dirección email_from sea ​​válida. De lo contrario, algunos servidores SMTP del proveedor de correo electrónico marcarán alertas de OSSEC como Spam. Si el FQDN del servidor no está configurado, la parte del dominio del correo electrónico se configura con el nombre de host del servidor, por lo que esta es una configuración en la que realmente desea tener una dirección de correo electrónico válida.

Otra configuración que desea personalizar, especialmente al probar el sistema, es la frecuencia con la que OSSEC ejecuta sus auditorías. Esa configuración está en la sección syscheck y, de forma predeterminada, se ejecuta cada 22 horas. Para probar las funciones de alerta de OSSEC, es posible que desee establecerlo en un valor más bajo, pero luego restablecerlo al valor predeterminado.

<syscheck>
   <!-- Frequency that syscheck is executed - default to every 22 hours -->
   <frequency>79200</frequency>

De manera predeterminada, OSSEC no alerta cuando se agrega un nuevo archivo al servidor. Para cambiar eso, agregue una nueva etiqueta justo debajo de la etiqueta <frecuencia> . Cuando se complete, la sección ahora debe contener:

<syscheck>
   <!-- Frequency that syscheck is executed - default to every 22 hours -->
   <frequency>79200</frequency>

   <alert_new_files>yes</alert_new_files>

Una última configuración que es buena para cambiar está en la lista de directorios que OSSEC debe verificar. Los encontrará justo después de la configuración anterior. Por defecto, los directorios se muestran como:

<!-- Directories to check  (perform all possible verifications) -->
   <directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
   <directories check_all="yes">/bin,/sbin</directories>

Modifique ambas líneas para que OSSEC informe los cambios en tiempo real. Cuando terminen, deberían leer:

<directories report_changes="yes" realtime="yes" check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
<directories report_changes="yes" realtime="yes" check_all="yes">/bin,/sbin</directories>

Guarde y cierre el archivo.

El siguiente archivo que necesitaremos modificar está local_rules.xmlen el /var/ossec/rulesdirectorio. Entonces cden ese directorio:

cd /var/ossec/rules

Ese directorio contiene los archivos de reglas de OSSEC, ninguno de los cuales debe modificarse, excepto el local_rules.xmlarchivo. En ese archivo, agregamos reglas personalizadas. La regla que necesitamos agregar es la que se activa cuando se agrega un nuevo archivo. Esa regla, numerada 554 , no activa una alerta por defecto. Esto se debe a que OSSEC no envía alertas cuando se activa una regla con el nivel establecido en cero.

Así es como se ve la regla 554 por defecto.

 <rule id="554" level="0">
    <category>ossec</category>
    <decoded_as>syscheck_new_entry</decoded_as>
    <description>File added to the system.</description>
    <group>syscheck,</group>
 </rule>

Necesitamos agregar una versión modificada de esa regla en el local_rules.xmlarchivo. Esa versión modificada se da en el bloque de código a continuación. Copie y agréguelo al final del archivo justo antes de la etiqueta de cierre.

 <rule id="554" level="7" overwrite="yes">
    <category>ossec</category>
    <decoded_as>syscheck_new_entry</decoded_as>
    <description>File added to the system.</description>
    <group>syscheck,</group>
 </rule>

Guarde y cierre el archivo, luego reinicie OSSEC.

/var/ossec/bin/ossec-control restart

Más información

OSSEC es una pieza de software muy poderosa, y este artículo acaba de tocar los conceptos básicos. Encontrará más configuraciones de personalización en la documentación oficial .