Comment installer OSSEC HIDS sur un serveur CentOS 7

• introduction
• Conditions préalables
• Étape 1: installer les packages requis
• Étape 2 - Téléchargez et vérifiez OSSEC
• Étape 3: déterminez votre serveur SMTP
• Étape 4: installer OSSEC
• Étape 5: démarrer OSSEC
• Étape 6: personnaliser OSSEC
• Plus d'information

introduction

OSSEC est un système de détection d'intrusion (HIDS) open source basé sur l'hôte qui effectue une analyse des journaux, une vérification d'intégrité, une surveillance du registre Windows, une détection des rootkits, des alertes basées sur le temps et une réponse active. C'est une application de sécurité indispensable sur n'importe quel serveur.

OSSEC peut être installé pour surveiller uniquement le serveur sur lequel il est installé (une installation locale), ou être installé en tant que serveur pour surveiller un ou plusieurs agents. Dans ce didacticiel, vous apprendrez à installer OSSEC pour surveiller CentOS 7 en tant qu'installation locale.

Conditions préalables

• Un serveur CentOS 7 configuré de préférence avec des clés SSH et personnalisé à l'aide de la configuration initiale d'un serveur CentOS 7 . Connectez-vous au serveur à l'aide du compte d'utilisateur standard. Supposons que le nom d'utilisateur est joe .

  ssh -l joe server-ip-address
  

Étape 1: installer les packages requis

OSSEC sera compilé à partir des sources, vous avez donc besoin d'un compilateur pour rendre cela possible. Il nécessite également un package supplémentaire pour les notifications. Installez-les en tapant:

sudo yum install -y gcc inotify-tools

Étape 2 - Téléchargez et vérifiez OSSEC

OSSEC est livré sous la forme d'une archive tar compressée qui doit être téléchargée à partir du site Web du projet. Le fichier de somme de contrôle, qui sera utilisé pour vérifier que l'archive tar n'a pas été falsifiée, doit également être téléchargé. Au moment de cette publication, la dernière version d'OSSEC est 2.8.2. Consultez la page de téléchargement du projet et téléchargez la dernière version.

Pour télécharger l'archive tar, tapez:

wget -U ossec http://www.ossec.net/files/ossec-hids-2.8.2.tar.gz

Pour le fichier de somme de contrôle, tapez:

wget -U ossec http://www.ossec.net/files/ossec-hids-2.8.2-checksum.txt

Avec les deux fichiers téléchargés, l'étape suivante consiste à vérifier les sommes de contrôle MD5 et SHA1 de l'archive tar. Pour le MD5sum, tapez:

md5sum -c ossec-hids-2.8.2-checksum.txt

Le résultat attendu est:

ossec-hids-2.8.2.tar.gz: OK
md5sum: WARNING: 1 line is improperly formatted

Pour vérifier le hachage SHA1, tapez:

sha1sum -c ossec-hids-2.8.2-checksum.txt

Et sa sortie attendue est:

ossec-hids-2.8.2.tar.gz: OK
sha1sum: WARNING: 1 line is improperly formatted

Étape 3: déterminez votre serveur SMTP

Au cours du processus d'installation d'OSSEC, vous serez invité à spécifier un serveur SMTP pour votre adresse e-mail. Si vous ne savez pas de quoi il s'agit, la méthode la plus simple à trouver est d'émettre cette commande depuis votre machine locale (remplacez la fausse adresse e-mail par votre vraie):

dig -t mx [email protected]

La section appropriée dans la sortie est affichée dans ce bloc de code. Dans cet exemple de sortie, le serveur SMTP pour l'adresse e-mail interrogée se trouve à la fin de la ligne - mail.vivaldi.net. . Notez que le point à la fin est inclus.

;; ANSWER SECTION:
vivaldi.net.        300 IN  MX  10 mail.vivaldi.net.

Étape 4: installer OSSEC

Pour installer OSSEC, vous devez d'abord déballer l'archive tar, ce que vous faites en tapant:

tar xf ossec-hids-2.8.2.tar.gz

Il sera décompressé dans un répertoire qui porte le nom et la version du programme. Changer ou cden elle. OSSEC 2.8.2, la version installée pour cet article, a un bogue mineur qui doit être corrigé avant de démarrer l'installation. Au moment où la prochaine version stable est publiée, qui devrait être OSSEC 2.9, cela ne devrait pas être nécessaire, car le correctif est déjà dans la branche principale. Le corriger pour OSSEC 2.8.2 signifie simplement éditer un fichier, qui se trouve dans le active-responserépertoire. Le fichier est hosts-deny.sh, alors ouvrez-le en utilisant:

nano active-response/hosts-deny.sh

Vers la fin du fichier, recherchez ce bloc de code:

# Deleting from hosts.deny
elif [ "x$" = "xdelete" ]; then
   lock;
   TMP_FILE = `mktemp /var/ossec/ossec-hosts.XXXXXXXXXX`
   if [ "X$" = "X" ]; then
      # Cheap fake tmpfile, but should be harder then no random data
      TMP_FILE = "/var/ossec/ossec-hosts.`cat /dev/urandom | tr -dc 'a-zA-Z0-9' | fold -w 32 | head -1 `"
   fi

Sur les lignes commençant par TMP_FILE , supprimez les espaces autour du signe = . Après avoir supprimé les espaces, cette partie du fichier doit être comme indiqué dans le bloc de code ci-dessous. Enregistrez et fermez le fichier.

# Deleting from hosts.deny
elif [ "x$" = "xdelete" ]; then
   lock;
   TMP_FILE=`mktemp /var/ossec/ossec-hosts.XXXXXXXXXX`
   if [ "X$" = "X" ]; then
      # Cheap fake tmpfile, but should be harder then no random data
      TMP_FILE="/var/ossec/ossec-hosts.`cat /dev/urandom | tr -dc 'a-zA-Z0-9' | fold -w 32 | head -1 `"
   fi

Maintenant que le correctif est en place, nous pouvons démarrer le processus d'installation, ce que vous faites en tapant:

sudo ./install.sh

Tout au long du processus d'installation, vous serez invité à fournir des informations. Dans la plupart des cas, il vous suffit d'appuyer sur ENTER pour accepter la valeur par défaut. Tout d'abord, vous serez invité à sélectionner la langue d'installation, qui par défaut est l'anglais (en). Appuyez donc sur ENTER si c'est votre langue préférée. Sinon, saisissez les 2 lettres de la liste des langues prises en charge. Ensuite, appuyez à nouveau sur ENTER .

La première question vous demandera quel type d'installation vous souhaitez. Ici, entrez local .

1- What kind of installation do you want (server, agent, local, hybrid or help)? local

Pour les questions suivantes, appuyez sur ENTRÉE pour accepter la valeur par défaut. La question 3.1 vous demandera votre adresse e-mail, puis vous demandera votre serveur SMTP. Pour cette question, entrez une adresse e-mail valide et le serveur SMTP que vous avez déterminé à l'étape 3.

3- Configuring the OSSEC HIDS.

   3.1- Do you want e-mail notification? (y/n) [y]: 
      - What's your e-mail address? [email protected]
      - What's your SMTP server ip/host?

Si l'installation réussit, vous devriez voir cette sortie:

- Configuration finished properly.

...

    More information can be found at http://www.ossec.net

    ---  Press ENTER to finish (maybe more information below). ---

Appuyez sur ENTRÉE pour terminer l'installation.

Étape 5: démarrer OSSEC

OSSEC a été installé, mais pas démarré. Pour le démarrer, passez d'abord au compte root.

sudo su

Ensuite, démarrez-le en exécutant la commande suivante.

/var/ossec/bin/ossec-control start

Ensuite, vérifiez votre boîte de réception. Une alerte OSSEC devrait vous informer qu'elle a été démarrée. Avec cela, vous savez maintenant que OSSEC est installé et enverra des alertes si nécessaire.

Étape 6: personnaliser OSSEC

La configuration par défaut d'OSSEC fonctionne bien, mais il existe des paramètres que vous pouvez modifier pour mieux protéger votre serveur. Le premier fichier à personnaliser est le fichier de configuration principal - ossec.conf, que vous trouverez dans le /var/ossec/etcrépertoire. Ouvrez le fichier:

nano /var/ossec/etc/ossec.conf

Le premier élément à vérifier est un paramètre de messagerie, que vous trouverez dans la section globale du fichier:

<global>
   <email_notification>yes</email_notification>
   <email_to>[email protected]</email_to>
   <smtp_server>mail.vivaldi.net.</smtp_server>
   <email_from>[email protected]</email_from>
</global>

Assurez-vous que l' adresse email_from est un email valide. Sinon, le serveur SMTP de certains fournisseurs de messagerie marquera les alertes OSSEC comme spam. Si le nom de domaine complet du serveur n'est pas défini, la partie domaine de l'e-mail est définie sur le nom d'hôte du serveur, c'est donc un paramètre que vous voulez vraiment avoir une adresse e-mail valide.

Un autre paramètre que vous souhaitez personnaliser, en particulier lors du test du système, est la fréquence à laquelle OSSEC exécute ses audits. Ce paramètre se trouve dans la section syscheck et, par défaut, il est exécuté toutes les 22 heures. Pour tester les fonctionnalités d'alerte d'OSSEC, vous souhaiterez peut-être la définir sur une valeur inférieure, mais la réinitialiser par défaut par la suite.

<syscheck>
   <!-- Frequency that syscheck is executed - default to every 22 hours -->
   <frequency>79200</frequency>

Par défaut, OSSEC n'alerte pas lorsqu'un nouveau fichier est ajouté au serveur. Pour changer cela, ajoutez une nouvelle balise juste sous la balise <fréquence> . Une fois terminée, la section devrait maintenant contenir:

<syscheck>
   <!-- Frequency that syscheck is executed - default to every 22 hours -->
   <frequency>79200</frequency>

   <alert_new_files>yes</alert_new_files>

Un dernier paramètre qu'il est bon de modifier est dans la liste des répertoires que OSSEC doit vérifier. Vous les trouverez juste après le réglage précédent. Par défaut, les répertoires sont affichés comme suit:

<!-- Directories to check  (perform all possible verifications) -->
   <directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
   <directories check_all="yes">/bin,/sbin</directories>

Modifiez les deux lignes pour effectuer des modifications de rapport OSSEC en temps réel. Une fois terminé, ils devraient lire:

<directories report_changes="yes" realtime="yes" check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
<directories report_changes="yes" realtime="yes" check_all="yes">/bin,/sbin</directories>

Enregistrez et fermez le fichier.

Le prochain fichier que nous devrons modifier se trouve local_rules.xmldans le /var/ossec/rulesrépertoire. Donc, cddans ce répertoire:

cd /var/ossec/rules

Ce répertoire contient les fichiers de règles OSSEC, dont aucun ne doit être modifié, à l'exception du local_rules.xmlfichier. Dans ce fichier, nous ajoutons des règles personnalisées. La règle que nous devons ajouter est celle qui se déclenche lorsqu'un nouveau fichier est ajouté. Cette règle, numérotée 554 , ne déclenche pas d'alerte par défaut. En effet, OSSEC n'envoie pas d'alertes lorsqu'une règle avec un niveau défini sur zéro est déclenchée.

Voici à quoi ressemble la règle 554 par défaut.

 <rule id="554" level="0">
    <category>ossec</category>
    <decoded_as>syscheck_new_entry</decoded_as>
    <description>File added to the system.</description>
    <group>syscheck,</group>
 </rule>

Nous devons ajouter une version modifiée de cette règle dans le local_rules.xmlfichier. Cette version modifiée est donnée dans le bloc de code ci-dessous. Copiez-le et ajoutez-le au bas du fichier juste avant la balise de fermeture.

 <rule id="554" level="7" overwrite="yes">
    <category>ossec</category>
    <decoded_as>syscheck_new_entry</decoded_as>
    <description>File added to the system.</description>
    <group>syscheck,</group>
 </rule>

Enregistrez et fermez le fichier, puis redémarrez OSSEC.

/var/ossec/bin/ossec-control restart

Plus d'information

OSSEC est un logiciel très puissant, et cet article vient de toucher aux bases. Vous trouverez plus de paramètres de personnalisation dans la documentation officielle .