搜索

[11124] 2017-03-13_详解OSSIM-OSSECWIN4771案例

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-03-13_详解OSSIM-OSSECWIN4771案例 详 解 O S S I M - O S S E C   W I N   4 7 7 1 案 例 R 0 0 t o 1   F r e e B u f   2 0 1 7 - 0 3 - 1 3 介 绍 介 绍 O S S I M E 中 的 中 的 H I D S 是 通 过 是 通 过 O S S E C 来 实 现 的 ， 来 实 现 的 ， O S S E C 采 用 服 务 端 和 客 户 端 模 式 ， 主 要 通 过 文 件 完 整 性 监 视 ， 日 志 监 视 ， 采 用 服 务 端 和 客 户 端 模 式 ， 主 要 通 过 文 件 完 整 性 监 视 ， 日 志 监 视 ， r o o t c h e c k 和 进 程 监 视 来 主 动 监 视 和 进 程 监 视 来 主 动 监 视 U n i x 系 统 活 动 的 所 有 方 面 。 系 统 活 动 的 所 有 方 面 。 O S S I M 中 服 务 端 已 经 安 装 完 成 ， 只 需 要 在 要 监 控 的 主 机 上 安 装 客 户 端 即 可 ： 中 服 务 端 已 经 安 装 完 成 ， 只 需 要 在 要 监 控 的 主 机 上 安 装 客 户 端 即 可 ： o s s e c   h t t p : / / o s s e c . g i t h u b . i o / 今 天 就 来 看 下 , 怎 么 一 步 一 步 配 置 4 7 7 1 暴 力 破 解 攻 击 的 报 警 . 储 备 知 识 储 备 知 识 接 收 所 有 日 志 接 收 所 有 日 志 因 为 默 认 情 况 下 , 不 是 所 有 的 日 志 都 会 接 收 , 所 以 我 们 首 先 要 打 开 o s s e c 发 送 过 来 的 所 有 日 志 : 如 图 操 作 之 后 , 就 可 以 看 到 o s s e c   a g e n t 所 有 接 收 到 的 日 志 : 修 改 完 记 得 要 重 启 h i d s 服 务 ：   E n v i r o n m e n t   >   D e t e c t i o n   >   H I D S   >   H I D S   C o n t r o l . – > R e s t a r t . 现 在 就 可 以 看 到 所 有 o s s e c   a g e n t 所 接 受 到 的 日 志 : 匹 配 规 则 和 报 警 匹 配 规 则 和 报 警 默 认 O s s e c 有 9 0 0 多 条 规 则 , 基 本 上 可 以 涵 盖 操 作 系 统 的 各 种 异 常 事 件 , 规 则 路 径 / v a r / o s s e c / a l i e n v a u l t / r u l e s # t a i l   - 1 0 f   / v a r / o s s e c / l o g s / a r c h i v e s / a r c h i v e s . l o g
如 果 接 收 到 的 日 志 能 被 规 则 所 匹 配 就 会 产 生 一 条 报 警 : 插 件 插 件 I D 和 和   S I D o s s i m 中 插 件 甚 多 , 可 分 为 采 集 插 件 和 监 视 插 件 , 每 个 插 件 又 有 I D 和 S I D , 插 件 位 置 : / e t c / o s s i m / a g e n t / p l u g i n s 比 如 r u l e   i d 为 1 8 1 0 5   对 应 的 插 件 是 : o s s e c - s i n g l e - l i n e . c f g 继 续 在 文 件 中 找 找 翻 译 关 系 : 所 以 这 里 的 p l u g i n _ i d = 7 0 0 6 1 8 1 0 5   是 事 件 类 型 i d 如 图 我 们 看 看 p l u g i n _ i d = 7 0 8 5 的 插 件 有 哪 些 事 件 类 型 i d : #   t a i l   - 1 0 f     / v a r / o s s e c / l o g s / a l e r t s / a l e r t s . l o g a l i e n v a u l t : / e t c / o s s i m / a g e n t / p l u g i n s #   l l - r w - r - - r - -   1   r o o t   a l i e n v a u l t       5 0 3 3   J u n   2 7     2 0 1 6   a c t i o n t e c . c f g - r w - r - - r - -   1   r o o t   a l i e n v a u l t     2 0 0 2 9   N o v   2 9   0 0 : 3 4   a e r o h i v e - w a p . c f g - r w - r - - r - -   1   r o o t   a l i e n v a u l t       5 7 3 6   J u n   1 6     2 0 1 5   a i r l o c k . c f g - r w - r - - r - -   1   r o o t   a l i e n v a u l t       1 7 2 0   N o v   1 5   0 0 : 3 7   a i r p o r t - e x t r e m e . c f g - r w - r - - r - -   1   r o o t   a l i e n v a u l t     1 2 5 8 0   S e p   2 0   1 6 : 5 9   a i x - a u d i t . c f g - r w - r - - r - -   1   r o o t   a l i e n v a u l t         7 4 4   J u n   1 6     2 0 1 5   a l a d d i n . c f g - r w - r - - r - -   1   r o o t   a l i e n v a u l t       6 8 6 9   J u l   2 5     2 0 1 6   a l c a t e l . c f g - r w - r - - r - -   1   r o o t   a l i e n v a u l t     1 2 8 8 6   J a n   1 0   2 3 : 3 0   a l i e n v a u l t _ p l u g i n s . l i s t - r w - r - - r - -   1   r o o t   a l i e n v a u l t       8 8 1 2   J u n   1 6     2 0 1 5   a l l o t . c f g - r w - r - - r - -   1   r o o t   a l i e n v a u l t       1 0 6 4   J u n   1 6     2 0 1 5   a l t e o n o s . c f g . . . . . . 1 8 1 0 5 = 7 0 0 6
关 联 分 析 指 令 关 联 分 析 指 令 免 费 的 o s s i m 默 认 只 提 供 了 8 0 多 个 相 关 的 分 析 指 令 . 指 令 地 址 : / e t c / o s s i m / s e r v e r 我 们 自 己 新 建 的 指 令 在 : 点 击 阅 读 原 文 查 看 一 条 指 令 ， 7 0 8 5 。 #   p w d / e t c / o s s i m / s e r v e r / a b b 1 c 7 7 1 - e 2 c e - 1 1 e 6 - 9 4 4 3 - 1 b 3 7 c 2 2 9 8 6 2 6 #   l s d i r e c t i v e s . x m l     d i s a b l e d _ d i r e c t i v e s . d a t a     u s e r . x m l
4 7 7 1 报 警 详 解 报 警 详 解 有 了 刚 刚 上 面 的 知 识 储 备 , 就 可 以 开 始 今 天 的 正 题 了 , 首 先 我 们 看 一 下 w i n   4 7 7 1   事 件 代 表 什 么 ? 4 7 7 1 事 件 : 代 表 在 域 内 的 账 号 在 除 域 控 制 器 意 外 的 任 何 一 台 加 入 域 的 计 算 机 上 登 陆 产 生 的 登 陆 失 败 的 日 志 ( 有 点 绕 , 多 读 几 遍 ) 接 收 并 查 找 相 关 日 志 接 收 并 查 找 相 关 日 志 为 了 找 到 o s s e c 发 送 过 来 的 原 始 4 7 7 1 日 志 , 我 们 首 先 需 要 打 开 接 收 所 有 日 志 , 然 后 从 日 志 中 筛 选 出 有 关 4 7 7 1 告 警 的 日 志 : 打 开 接 收 所 有 日 志 上 面 的 储 备 知 识 中 已 经 介 绍 , 这 里 不 再 赘 述 , 请 按 照 步 骤 操 作 .
到 域 控 制 器 上 部 署 o s s e c   , 具 体 步 骤 请 参 考   O S S I M - H I D S 在 域 内 的 客 户 机 登 陆 域 内 的 任 意 账 号 ， 查 找 有 关 4 7 7 1 的 告 警 日 志 ： 如 代 码 所 示 ， 我 们 已 经 成 功 的 接 收 到 了 有 关 4 7 7 1 的 告 警 日 志 查 找 匹 配 的 规 则 和 报 警 查 找 匹 配 的 规 则 和 报 警 上 文 提 到 , o s s e c 提 供 了 9 0 0 多 条 规 则 , 大 多 数 的 事 件 是 可 以 被 匹 配 到 的 , 我 们 现 在 查 找 下 是 否 有 默 认 策 略 匹 配 到 4 7 7 1 事 件 ： 在 规 则 文 件 目 录 查 找 W i n d o w s   a u d i t   f a i l u r e   e v e n t . 通 过 查 看 告 警 日 志 , 我 们 成 功 的 发 现 了 4 7 7 1 已 经 被 规 则 匹 配 出 来 , 其 实 这 里 被 匹 配 出 的 4 7 7 1 事 件 不 是 使 用 关 键 字 4 7 7 1 在 o s s e c 规 则 中 匹 配 到 的 , 我 们 详 细 看 下 配 置 这 个 4 7 7 1 的 规 则 是 / v a r / o s s e c / a l i e n v a u l t / r u l e s / m s a u t h _ r u l e s . x m l 文 件 ： 通 过 查 看 规 则 详 情 ， 我 们 发 现 真 正 的 匹 配 是 < s t a t u s > ^ A U D I T _ F A I L U R E | ^ f a i l u r e < / s t a t u s > 我 们 返 回 的 接 收 的 原 始 日 志 查 看 , 发 现 这 么 一 段 ：
正 是 由 于 这 个 关 键 字 , 我 们 成 功 的 匹 配 到 了 4 7 7 1 事 件 , 由 于 不 是 直 接 匹 配 4 7 7 1 事 件 , 所 以 会 存 在 一 定 的 误 报 , 毕 竟 登 陆 失 败 的 代 码 还 有 很 多 , 这 里 我 采 用 修 改 其 他 规 则 文 件 来 匹 配 4 7 7 1 事 件 . 我 把 1 8 1 2 0 事 件 修 改 成 ： 这 样 就 能 精 确 的 匹 配 出 4 7 7 1 事 件 , 查 看 接 收 到 的 日 志 文 件 ： 查 找 相 关 插 件 查 找 相 关 插 件 I D 我 们 已 经 把 o s s e c 有 关 报 警 的 s i d 改 成 1 8 1 2 0 了 , 继 续 根 据 1 8 1 2 0 来 查 找 相 关 的 插 件 I D 是 哪 个 , 从 而 编 写 出 关 联 分 析 规 则 : 进 入 到 插 件 目 录 , 我 们 搜 索 1 8 1 2 0 , 发 现 是 存 在 这 个 插 件 中 o s s e c - s i n g l e - l i n e . c f g , 我 们 找 到 具 体 的 规 则 ： 所 以 这 里 的 p l u g i n _ i d = 7 0 0 6 1 8 1 2 0   是 事 件 类 型 i d 至 此 , 我 们 编 写 关 联 分 析 指 令 的 所 有 信 息 都 具 备 了 , 下 面 开 始 编 写 关 联 分 析 指 令 : 编 写 关 联 分 析 指 令 编 写 关 联 分 析 指 令 具 体 的 知 识 ， 请 回 顾 2 . 4   关 联 分 析 指 令 , 我 们 新 建 指 令 : 这 里 填 写 上 N A M E , I N T E N T , S T R A T E G Y , M E T H O D 即 可 , 如 图 :   W i n E v t L o g :   S e c u r i t y :   A U D I T _ F A I L U R E ( 4 7 7 1 ) :     < r u l e   i d = " 1 8 1 2 0 "   l e v e l = " 4 " >         < i f _ s i d > 1 8 1 0 5 < / i f _ s i d >         < i d > ^ 4 7 7 1 $ < / i d >         < d e s c r i p t i o n > 4 7 7 1 - W i n d o w s   l o g i n   f a i l . < / d e s c r i p t i o n >     < / r u l e > 1 8 1 2 0 = 7 0 0 6
这 里 着 重 介 绍 下   P R I O R I T Y 的 含 义 : P R I O R I T Y : 优 先 级 , 取 值 为 0 - 5   , 表 示 如 果 这 个 攻 击 成 功 了 , 对 系 统 所 造 成 的 影 响 程 度 , 数 值 越 高 , 危 害 就 越 大 , 本 例 来 说 没 必 要 用 4   , 这 里 要 根 据 实 际 情 况 进 行 选 择 , 这 里 我 用 4 是 为 了 突 出 实 验 效 果 . . 点 击 S A V E 之 后 , 填 写 规 则 的 名 称 , 这 里 写 个 你 能 看 懂 的 就 行 : 接 下 来 就 是 用 到 我 们 上 文 提 到 的 插 件 I D 了 , 前 文 得 之 我 们 需 要 用 , 这 里 直 接 搜 索 即 可 , 然 后 选 中 : 7 0 0 6
然 后 选 择 事 件 类 型 I D , 就 是 上 文 提 到 的   1 8 1 2 0 , 查 找 填 入 即 可 . 接 下 来 就 是 选 择 源 了 , 因 为 这 是 策 略 的 顶 层 , 所 以 是 接 收 任 何 i p , 也 就 是 a n y , 直 接 下 一 步 即 可 :
这 里 还 要 学 习 几 个 概 念 : R i s k : 取 值 范 围 ( 1 - 1 0 ) , 这 里 表 示 事 件 的 风 险 值 , 值 越 高 越 要 引 起 重 视 . 计 算 方 法 下 图 已 经 给 出 了 : R i s k   =   ( p r i o r i t y   *   r e l i a b i l i t y   *   a s s e t _ v a l u e )   /   2 5 . 至 此 我 们 已 经 完 成 一 个 指 令 的 最 上 层 了 , 继 续 重 复 上 面 的 步 骤 建 立 下 层 :
最 后 ， 制 造 一 些 登 录 错 误 信 息 ， 查 看 报 警 ： o s s i m 新 手 ， 如 有 错 误 ， 还 请 指 正 ， 欢 迎 交 流 ~ * 本 文 作 者 ： R 0 0 t o 1 ， 转 载 请 注 明 来 自 F r e e b u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理