CentOS 7 서버에 OSSEC HIDS를 설치하는 방법

• 소개
• 전제 조건
• 1 단계 : 필수 패키지 설치
• 2 단계-OSSEC 다운로드 및 확인
• 3 단계 : SMTP 서버 결정
• 4 단계 : OSSEC 설치
• 5 단계 : OSSEC 시작
• 6 단계 : OSSEC 사용자 정의
• 추가 정보

소개

OSSEC은 로그 분석, 무결성 검사, Windows 레지스트리 모니터링, 루트킷 탐지, 시간 기반 경고 및 능동적 인 응답을 수행하는 오픈 소스 호스트 기반 침입 탐지 시스템 (HIDS)입니다. 모든 서버의 필수 보안 응용 프로그램입니다.

OSSEC은 설치된 서버 (로컬 설치) 만 모니터링하도록 설치하거나 하나 이상의 에이전트를 모니터링하는 서버로 설치할 수 있습니다. 이 자습서에서는 CentOS 7을 로컬 설치로 모니터링하기 위해 OSSEC을 설치하는 방법을 배웁니다.

전제 조건

• CentOS 7 서버는 SSH 키로 설정하고 CentOS 7 서버의 초기 설정을 사용하여 사용자 정의하는 것이 좋습니다 . 표준 사용자 계정을 사용하여 서버에 로그인하십시오. username이 joe 라고 가정하십시오 .

  ssh -l joe server-ip-address
  

1 단계 : 필수 패키지 설치

OSSEC은 소스에서 컴파일되므로이를 가능하게하려면 컴파일러가 필요합니다. 또한 알림을위한 추가 패키지가 필요합니다. 다음을 입력하여 설치하십시오.

sudo yum install -y gcc inotify-tools

2 단계-OSSEC 다운로드 및 확인

OSSEC은 프로젝트 웹 사이트에서 다운로드해야하는 압축 된 타르볼로 제공됩니다. tarball이 변경되지 않았 음을 확인하는 데 사용되는 체크섬 파일도 다운로드해야합니다. 이 책을 발행 할 당시 OSSEC의 최신 버전은 2.8.2입니다. 프로젝트의 다운로드 페이지를 확인하고 최신 버전이 무엇이든 다운로드하십시오 .

tarball을 다운로드하려면 다음을 입력하십시오.

wget -U ossec http://www.ossec.net/files/ossec-hids-2.8.2.tar.gz

체크섬 파일의 경우 다음을 입력하십시오.

wget -U ossec http://www.ossec.net/files/ossec-hids-2.8.2-checksum.txt

두 파일을 모두 다운로드 한 후 다음 단계는 tarball의 MD5 및 SHA1 체크섬을 확인하는 것입니다. MD5sum의 경우 다음을 입력하십시오.

md5sum -c ossec-hids-2.8.2-checksum.txt

예상되는 결과는 다음과 같습니다.

ossec-hids-2.8.2.tar.gz: OK
md5sum: WARNING: 1 line is improperly formatted

SHA1 해시를 확인하려면 다음을 입력하십시오.

sha1sum -c ossec-hids-2.8.2-checksum.txt

그리고 예상되는 결과는 다음과 같습니다.

ossec-hids-2.8.2.tar.gz: OK
sha1sum: WARNING: 1 line is improperly formatted

3 단계 : SMTP 서버 결정

OSSEC 설치 과정에서 이메일 주소로 SMTP 서버를 지정하라는 메시지가 표시됩니다. 그것이 무엇인지 모르는 경우 가장 쉬운 방법은 로컬 컴퓨터에서이 명령을 실행하는 것입니다 (가짜 전자 메일 주소를 실제 전자 메일 주소로 바꾸십시오).

dig -t mx [email protected]

출력의 관련 섹션이이 코드 블록에 표시됩니다. 이 샘플 출력에서 ​​쿼리 된 전자 메일 주소의 SMTP 서버는 mail.vivaldi.net 줄의 끝에 있습니다. . 끝에 점이 포함되어 있습니다.

;; ANSWER SECTION:
vivaldi.net.        300 IN  MX  10 mail.vivaldi.net.

4 단계 : OSSEC 설치

OSSEC을 설치하려면 먼저 다음을 입력하여 tarball의 포장을 풀어야합니다.

tar xf ossec-hids-2.8.2.tar.gz

프로그램의 이름과 버전이있는 디렉토리에 압축이 풀립니다. 또는 변경 cd하십시오. 이 기사를 위해 설치된 버전 인 OSSEC 2.8.2에는 설치를 시작하기 전에 수정해야 할 사소한 버그가 있습니다. 다음 안정 버전 (OSSEC 2.9)이 릴���스 될 때까지 수정 프로그램이 이미 마스터 브랜치에 있으므로 필요하지 않습니다. OSSEC 2.8.2를 수정한다는 것은 active-response디렉토리 에있는 하나의 파일을 편집하는 것을 의미합니다 . 파일은 hosts-deny.sh이므로 다음을 사용하여 엽니 다.

nano active-response/hosts-deny.sh

파일 끝으로이 코드 블록을 찾으십시오.

# Deleting from hosts.deny
elif [ "x$" = "xdelete" ]; then
   lock;
   TMP_FILE = `mktemp /var/ossec/ossec-hosts.XXXXXXXXXX`
   if [ "X$" = "X" ]; then
      # Cheap fake tmpfile, but should be harder then no random data
      TMP_FILE = "/var/ossec/ossec-hosts.`cat /dev/urandom | tr -dc 'a-zA-Z0-9' | fold -w 32 | head -1 `"
   fi

TMP_FILE로 시작하는 행 에서 = 부호 주위의 공백을 삭제 하십시오. 공백을 제거한 후 파일의 해당 부분은 아래 코드 블록에 표시된 것과 같아야합니다. 파일을 저장하고 닫습니다.

# Deleting from hosts.deny
elif [ "x$" = "xdelete" ]; then
   lock;
   TMP_FILE=`mktemp /var/ossec/ossec-hosts.XXXXXXXXXX`
   if [ "X$" = "X" ]; then
      # Cheap fake tmpfile, but should be harder then no random data
      TMP_FILE="/var/ossec/ossec-hosts.`cat /dev/urandom | tr -dc 'a-zA-Z0-9' | fold -w 32 | head -1 `"
   fi

수정 사항이 적용되었으므로 다음을 입력하여 설치 프로세스를 시작할 수 있습니다.

sudo ./install.sh

설치 과정 전체에 걸쳐 일부 입력을 요구하는 프롬프트가 표시됩니다. 대부분의 경우 기본값을 적용 하려면 Enter 키만 누르면 됩니다. 먼저 설치 언어 (기본적으로 영어 (en))를 선택하라는 메시지가 표시됩니다. 선호하는 언어 인 경우 ENTER를 누르 십시오 . 그렇지 않으면 지원되는 언어 목록에서 두 글자를 입력하십시오. 그런 다음 ENTER를 다시 누릅니다 .

첫 번째 질문은 원하는 설치 유형을 묻습니다. 여기에 local을 입력하십시오 .

1- What kind of installation do you want (server, agent, local, hybrid or help)? local

이후의 질문에 대해서는 ENTER 를 눌러 기본값을 적용하십시오. 질문 3.1은 이메일 주소를 입력하라는 메시지를 표시 한 다음 SMTP 서버를 요청합니다. 해당 질문에 유효한 이메일 주소와 3 단계에서 결정한 SMTP 서버를 입력하십시오.

3- Configuring the OSSEC HIDS.

   3.1- Do you want e-mail notification? (y/n) [y]: 
      - What's your e-mail address? [email protected]
      - What's your SMTP server ip/host?

설치가 완료되면 다음과 같은 출력이 표시됩니다.

- Configuration finished properly.

...

    More information can be found at http://www.ossec.net

    ---  Press ENTER to finish (maybe more information below). ---

설치를 마치려면 ENTER 를 누르 십시오 .

5 단계 : OSSEC 시작

OSSEC이 설치되었지만 시작되지 않았습니다. 시작하려면 먼저 루트 계정으로 전환하십시오.

sudo su

그런 다음 다음 명령을 실행하여 시작하십시오.

/var/ossec/bin/ossec-control start

그런 다음받은 편지함을 확인하십시오. OSSEC에서 시작되었음을 알리는 경고가 있어야합니다. 이를 통해 이제 OSSEC이 설치되었으며 필요에 따라 경고를 보냅니다.

6 단계 : OSSEC 사용자 정의

OSSEC의 기본 구성은 잘 작동하지만 서버를 더 잘 보호하기 위해 조정할 수있는 설정이 있습니다. 사용자 정의 할 첫 번째 파일은 기본 구성 파일- ossec.conf이며 /var/ossec/etc디렉토리에 있습니다. 파일을여십시오 :

nano /var/ossec/etc/ossec.conf

확인할 첫 번째 항목은 이메일 설정이며 파일 의 전역 섹션 에서 찾을 수 있습니다.

<global>
   <email_notification>yes</email_notification>
   <email_to>[email protected]</email_to>
   <smtp_server>mail.vivaldi.net.</smtp_server>
   <email_from>[email protected]</email_from>
</global>

email_from 주소가 유효한 이메일 인지 확인하십시오 . 그렇지 않으면 일부 전자 메일 공급자의 SMTP 서버가 OSSEC의 경고를 스팸으로 표시합니다. 서버의 FQDN이 설정되지 않은 경우 전자 메일의 도메인 부분이 서버의 호스트 이름으로 설정되므로 실제로 유효한 전자 메일 주소를 가지려는 설정입니다.

특히 시스템을 테스트하는 동안 사용자 지정하려는 다른 설정은 OSSEC이 감사를 실행하는 빈도입니다. 해당 설정은 syscheck 섹션에 있으며 기본적으로 22 시간마다 실행됩니다. OSSEC의 경고 기능을 테스트하기 위해 더 낮은 값으로 설정하고 나중에 기본값으로 재설정 할 수 있습니다.

<syscheck>
   <!-- Frequency that syscheck is executed - default to every 22 hours -->
   <frequency>79200</frequency>

기본적으로 OSSEC은 새 파일이 서버에 추가 될 때 경고하지 않습니다. 이를 변경하려면 <frequency> 태그 바로 아래에 새 태그를 추가하십시오 . 완료되면 섹션에 다음 내용이 포함되어야합니다.

<syscheck>
   <!-- Frequency that syscheck is executed - default to every 22 hours -->
   <frequency>79200</frequency>

   <alert_new_files>yes</alert_new_files>

변경하기에 좋은 마지막 설정은 OSSEC이 점검해야하는 디렉토리 목록입니다. 이전 설정 직후에 찾을 수 있습니다. 기본적으로 디렉토리는 다음과 같이 표시됩니다.

<!-- Directories to check  (perform all possible verifications) -->
   <directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
   <directories check_all="yes">/bin,/sbin</directories>

OSSEC 보고서가 실시간으로 변경되도록 두 행을 수정하십시오. 완료되면 다음을 읽어야합니다.

<directories report_changes="yes" realtime="yes" check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
<directories report_changes="yes" realtime="yes" check_all="yes">/bin,/sbin</directories>

파일을 저장하고 닫습니다.

다음으로 수정해야 할 파일 local_rules.xml은 /var/ossec/rules디렉토리에 있습니다. 그래서 cd그 디렉토리에 :

cd /var/ossec/rules

이 디렉토리에는 OSSEC의 규칙 파일이 있으며 local_rules.xml파일을 제외하고는 수정하지 않아야 합니다. 이 파일에는 사용자 지정 규칙이 추가됩니다. 추가해야 할 규칙은 새 파일이 추가 될 때 실행되는 규칙입니다. 번호가 554 인이 규칙 은 기본적으로 경고를 트리거하지 않습니다. 이는 수준이 0으로 설정된 규칙이 트리거 될 때 OSSEC이 경고를 보내지 않기 때문입니다.

기본적으로 규칙 554는 다음과 같습니다.

 <rule id="554" level="0">
    <category>ossec</category>
    <decoded_as>syscheck_new_entry</decoded_as>
    <description>File added to the system.</description>
    <group>syscheck,</group>
 </rule>

local_rules.xml파일 에 해당 규칙의 수정 된 버전을 추가해야 합니다. 수정 된 버전은 아래 코드 블록에 나와 있습니다. 닫는 태그 바로 앞에 파일의 맨 아래에 복사하여 추가하십시오.

 <rule id="554" level="7" overwrite="yes">
    <category>ossec</category>
    <decoded_as>syscheck_new_entry</decoded_as>
    <description>File added to the system.</description>
    <group>syscheck,</group>
 </rule>

파일을 저장하고 닫은 다음 OSSEC을 다시 시작하십시오.

/var/ossec/bin/ossec-control restart

추가 정보

OSSEC은 매우 강력한 소프트웨어이며이 기사는 기본 사항을 다뤘습니다. 공식 문서 에서 더 많은 사용자 정의 설정을 찾을 수 있습니다 .