搜索

[7692] 2013-12-26_ossec入侵检测日志行为分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-17
2013-12-26_ossec入侵检测日志行为分析 o s s e c 入 侵 检 测 日 志 行 为 分 析 F r e e B u f   2 0 1 3 - 1 2 - 2 6 上 次 说 写 的 o s s e c 连 载 ， 不 幸 因 为 工 作 太 忙 夭 折 了 ， 最 近 缓 过 神 来 决 定 补 上 第 2 篇 ， 言 归 正 传 , o s s e c 的 功 能 主 要 是 为 了 防 御 及 抓 坏 人 ， 但 因 为 攻 防 之 间 本 来 就 信 息 不 对 称 所 以 防 守 方 需 要 能 早 知 道 攻 击 者 的 行 为 ， 这 点 有 很 多 案 例 来 证 明 ， 我 们 能 不 能 不 安 装 o s s e c 客 户 端 的 情 况 下 来 对 攻 击 者 攻 击 的 入 侵 行 为 捕 获 呢 ， 这 也 有 利 于 我 们 对 攻 击 者 的 行 为 有 进 一 步 的 了 解 ， 我 比 较 擅 长 l i n u x ， 于 是 这 里 还 以 l i n u x 安 全 为 主 ， 对 于 网 络 边 界 来 说 s s h 绝 对 是 保 护 的 重 点 。 关 于 o s s e c 的 安 装 ， 这 里 就 不 在 赘 述 ， 可 以 看 看 官 方 文 档 ， o s s e c 支 持 2 种 模 式 ， 第 一 种 是 安 装 o s s e c 客 户 端 ， 这 种 在 大 公 司 未 必 适 用 因 为 种 种 原 因 ， 还 有 一 种 是 利 用 s y s l o g 来 传 输 安 全 日 志 ， 我 这 里 主 要 说 的 是 这 个 ， 相 信 很 多 人 对 s y s l o g 比 较 熟 ， o s s e c 本 身 对 日 志 的 传 输 也 是 通 过 s y s l o g 来 完 成 。 本 着 知 其 然 然 其 所 以 然 的 态 度 ， 我 们 要 做 一 件 事 ， 就 需 要 3 个 步 骤 ： w h a t ? h o w ? d o ? ， 要 收 集 日 志 ， 当 然 要 知 道 收 集 这 些 能 做 哪 些 咯 ， 下 边 来 看 日 志 收 集 的 作 用 ， 最 重 要 的 是 如 何 根 据 日 志 进 行 入 侵 行 为 分 析 。 日 志 的 作 用 ： 1 、 从 安 全 方 面 来 考 虑 主 要 是 为 了 能 够 在 出 现 问 题 时 或 出 现 安 全 问 题 后 可 以 查 询 到 日 志 ， 来 追 溯 攻 击 者 ； 2 、 从 运 维 层 面 来 说 ， 收 集 系 统 日 志 对 于 s a 处 理 各 种 故 障 来 说 ， 可 以 提 供 很 大 便 利 性 ， 另 外 可 以 方 便 运 维 排 除 故 障 及 解 决 问 题 ； 3 、 起 到 备 份 作 用 ， 需 要 对 日 志 安 全 日 志 进 行 保 存 ， 避 免 因 为 黑 客 入 侵 导 致 的 日 志 丢 失 ； 如 何 做 ？ 如 何 做 ？ 1 、 配 置 、 配 置 o s s e c   s e r v e r ： ： o s s e c 自 身 支 持 s y s l o g 功 能 ， 在 / v a r / o s s e c / e t c / o s s e c . c o n f 里 可 以 配 置 ， 另 外 还 可 以 配 置 允 许 访 问 的 网 段 地 址 ， 首 先 配 置 本 机 支 持 s y s l o g ， 把 o s s e c - r e m o t e d 开 启 。 < s y s l o g _ o u t p u t >                   < s e r v e r > 1 9 2 . 1 6 8 . 1 . 1 4 < / s e r v e r >         < p o r t > 5 1 4 < / p o r t > < / s y s l o g _ o u t p u t > 然 后 配 置 s y s l o g 允 许 连 接 到 的 i p 地 址 网 段 ， 如 下 所 示 ： < r e m o t e >     < c o n n e c t i o n > s y s l o g < / c o n n e c t i o n >     < a l l o w e d - i p s > 1 9 2 . 1 6 8 . 1 . 1 / 2 4 < / a l l o w e d - i p s > < / r e m o t e > 然 后 重 启 o s s e c ， 这 个 时 候 可 以 t a i l   - f   / v a r / o s s e c / l o g / o s s e c . l o g 查 看 配 置 文 件 有 无 报 错 ， 如 报 错 则 无 法 启 动 o s s e c 服 务 ， 如 图 已 经 启 动 。 2 、 配 置 、 配 置 s y s l o g   c l i e n t ： ：
客 户 端 配 置 不 需 要 很 复 杂 ， 只 需 要 配 置 基 本 的 s y s l o g 策 略 即 可 ， s y s l o g 本 身 是 u d p 协 议 ， 可 能 会 出 现 丢 日 志 的 现 象 ， 但 实 际 使 用 上 暂 未 发 现 ， 配 置 如 下 ： a u t h , a u t h p r i v . *         @ 1 9 2 . 1 6 8 . 1 . 1 4 ， 这 句 的 意 思 是 允 许 把 安 全 日 志 传 输 到 远 程 o s s e c   s e v e r ， 做 安 全 暂 时 只 关 心 安 全 日 志 。 3 、 接 入 、 接 入 s y s l o g ： ： 通 过 s y s l o g 将 日 志 传 输 到 o s s e c   s e r v e r 上 ， 通 过 / v a r / o s s e c / l o g s / o s s e c . l o g ， 检 查 到 o s s e c 已 经 允 许 接 受 来 自 1 9 2 . 1 6 8 . 1 . * 的 s y s l o g 配 置 。 2 0 1 3 / 1 2 / 2 5   9 : 1 1 : 5 2   o s s e c - r e m o t e d :   R e m o t e   s y s l o g   a l l o w e d   f r o m : & # 0 3 9 ; 1 9 2 . 1 6 8 . 1 . 1 / 2 4 & # 0 3 9 ; ; 4 、 触 发 报 警 ： 、 触 发 报 警 ： 要 报 警 需 要 触 发 到 o s s e c 的 规 则 ， 比 如 s s h 登 录 异 常 ， 登 录 异 常 需 要 3 次 来 触 发 ， 首 先 配 置 o s s e c 的 规 则 为 ： < a l e r t s >               < l o g _ a l e r t _ l e v e l > 1 0 < / l o g _ a l e r t _ l e v e l >       < e m a i l _ a l e r t _ l e v e l > 7 < / e m a i l _ a l e r t _ l e v e l > < / a l e r t s > 上 边 x m l 的 意 思 是 l e v e l   =   1 0 的 日 志 如 果 触 发 规 则 ， 则 报 警 ， 已 经 配 置 好 了 s y s l o g 的 话 ， 那 如 何 来 触 发 报 警 呢 ？ 见 5 . 5 、 测 试 报 警 ： 、 测 试 报 警 ： a . 通 过 登 录 已 经 接 入 o s s e c   的 服 务 器 1 9 2 . 1 6 8 . 1 . * 的 机 器 ； b . 随 便 输 入 几 次 密 码 ； c . 操 作 完 成 可 以 看 到 已 触 发 报 警 ， 这 里 需 要 说 明 下 ， o s s e c 内 配 置 的 s m t p 需 要 认 证 的 话 ， 是 不 能 通 过 认 证 的 ， 所 有 我 们 可 以 通 过 把 邮 件 先 发 送 到 g m a i l ， 然 后 g m a i l 内 设 置 过 滤 器 来 转 发 到 你 所 在 的 邮 箱 ； 这 里 是 我 之 前 测 试 的 邮 件 ， 所 以 打 码 了 ， 如 图 ： 到 这 里 就 完 成 了 发 送 邮 件 ， 但 是 为 什 么 会 触 发 呢 ？ 我 个 人 觉 得 做 技 术 需 要 对 其 原 理 也 深 挖 下 ， 这 样 才 能 融 会 贯 通 ， 于 是 看 了 下 官 方 文 档 和 g o o g l e 相 关 内 容 ， 通 过 自 己 的 了 解 总 结 了 o s s e c 对 日 志 分 析 的 3 点 ： 1 、 日 志 预 解 码 ： 目 的 ， 从 日 志 中 提 取 一 般 的 信 息 。 例 如 ， 从 系 统 日 志 头 中 获 取 主 机 名 ， 程 序 名 和 时 间 等 等 。 条 件 ， 日 志 必 须 格 式 良 好 。 2 、 日 志 解 码 ： 日 志 解 码 是 利 用 正 则 表 达 式 匹 配 出 某 些 关 键 字 ， 包 括 主 机 名 、 来 源 i p 、 日 志 信 息 等 ； 3 、 日 志 分 析 ： 日 志 分 析 主 要 是 拿 这 些 解 码 后 的 日 志 去 匹 配 o s s e c   d e c o d e r . x m l 中 的 规 则 ， 如 果 匹 配 则 会 触 发 ， 如 上 边 是 s s h d 的 日 志 触 发 ， 是 触 发 了 这 些 规 则 ： 用 一 个 图 来 表 示 就 是 这 样 的 ：
总 结 ： 总 结 ： 这 里 就 实 现 了 s y s l o g 传 输 日 志 的 需 求 ， 其 实 难 点 不 在 这 里 传 输 而 是 在 分 析 ， 对 于 中 小 企 业 来 说 ， 自 己 写 入 侵 检 测 规 则 过 于 麻 烦 ， 这 时 候 能 有 o s s e c   r u l e s 来 帮 助 我 们 完 成 这 部 分 繁 杂 的 工 作 ， 何 乐 而 不 为 ？ 最 后 分 享 一 句 话 某 个 前 辈 的 话 ， “ 安 全 这 个 东 西 就 是 这 样 的 ， 你 遇 到 的 我 没 遇 到 过 ， 我 遇 到 的 你 可 能 也 没 有 遇 到 过 ， 其 实 只 要 一 说 ， 大 家 就 都 明 白 了 。   ”   希 望 此 文 对 你 有 帮 助 ， 谢 谢 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理