搜索

[21022] 2020-05-11_OSSIM操作实践

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2020-05-11_OSSIM操作实践 O S S I M 操 作 实 践 L e m o n S e c   2 0 2 0 - 0 5 - 1 1 今 天 偶 然 被 朋 友 问 到 O S S I M ， 才 发 现 以 前 储 备 的 知 识 竟 然 忘 的 差 不 多 了 。 最 怕 的 不 是 遗 忘 ， 而 是 从 没 回 头 去 看 。 翻 出 以 前 写 的 文 章 ， 重 新 捡 起 首 发 安 全 脉 搏 ： h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 6 7 3 5 0 . h t m l 最 近 公 司 要 求 部 署 最 近 公 司 要 求 部 署 O S S I M ， 在 对 ， 在 对 O S S I M 使 用 的 过 程 中 ， 详 细 通 读 了 李 晨 光 老 师 的 《 使 用 的 过 程 中 ， 详 细 通 读 了 李 晨 光 老 师 的 《 O S S I M 最 佳 实 践 》 一 书 ， 书 中 对 于 最 佳 实 践 》 一 书 ， 书 中 对 于 O S S I M 部 署 操 作 以 及 部 署 操 作 以 及 S e n s o r 操 作 都 有 详 细 操 作 都 有 详 细 介 绍 。 有 在 甲 方 做 安 全 运 维 并 需 要 用 到 介 绍 。 有 在 甲 方 做 安 全 运 维 并 需 要 用 到 O S S I M 的 的 小 伙 伴 建 议 可 以 买 一 本 。 的 的 小 伙 伴 建 议 可 以 买 一 本 。 在 对 在 对 O S S I M 部 署 的 过 程 中 ， 遇 到 很 多 问 题 ， 在 百 度 中 寻 找 答 案 时 ， 发 现 关 于 部 署 的 过 程 中 ， 遇 到 很 多 问 题 ， 在 百 度 中 寻 找 答 案 时 ， 发 现 关 于 O S S I M 的 文 章 很 少 ， 所 查 到 的 资 料 也 大 多 千 篇 一 律 的 都 是 基 础 类 而 很 少 有 实 际 操 作 的 文 章 很 少 ， 所 查 到 的 资 料 也 大 多 千 篇 一 律 的 都 是 基 础 类 而 很 少 有 实 际 操 作 类 。 类 。 以 下 是 本 人 在 读 《 以 下 是 本 人 在 读 《 O S S I M 最 佳 实 践 》 一 书 时 ， 并 在 最 佳 实 践 》 一 书 时 ， 并 在 O S S I M 操 作 过 程 中 所 总 结 的 操 作 过 程 中 所 总 结 的 O S S I M 原 理 、 原 理 、 O S S I M 的 部 署 等 ， 仅 供 参 考 ， 也 欢 迎 有 人 提 出 问 题 一 起 学 习 的 部 署 等 ， 仅 供 参 考 ， 也 欢 迎 有 人 提 出 问 题 一 起 学 习     工 欲 善 其 事 , 必 先 利 其 器 。 作 为 O S S I M 的 使 用 者 ， 对 于 企 业 网 中 部 署 O S S I M 你 真 的 准 备 好 了 吗 ？ 从 软 件 方 面 看 对 于 系 统 维 护 、 网 络 管 理 以 及 安 全 管 理 知 识 体 系 是 否 全 面 了 解 呢 ？ 1 .   软 硬 件 配 备 软 硬 件 配 备 （ 1 ） 首 先 确 定 监 控 范 围 。 需 要 监 控 几 个 网 段 内 的 多 少 台 服 务 器 ， 每 台 设 备 的 日 最 高 流 量 为 多 大 （ 需 要 按 峰 值 考 虑 ） , 每 台 设 备 都 需 要 能 联 系 到 相 应 的 管 理 员 。 （ 2 ） 确 定 监 控 对 象 ， 虽 说 O S S I M 能 够 监 控 多 种 设 备 ， 但 实 际 上 为 了 保 证 性 能 ， 不 能 无 节 制 的 打 开 各 种 服 务 。 （ 3 ） 从 人 员 配 备 上 看 ， 需 由 专 人 负 责 管 理 ， 维 护 O S S I M 的 人 员 ， 首 先 因 该 是 具 有 一 定 工 作 经 验 的 L i n u x 工 程 师 ， 熟 悉 L i n u x 系 统 + 网 络 架 构 + M y S Q L + P H P ， 即 熟 悉 L i n u x 系 统 运 维 、 M y S Q L 数 据 库 运 维 、 信 息 安 全 管 理 、 对 于 网 络 编 程 也 需 要 掌 握 。 （ 4 ） 硬 件 选 择 ， 可 以 采 用 品 × × × 服 务 器 ， 对 于 中 小 企 业 也 可 以 根 据 自 己 需 求 ， 以 O S S I M   4 . 8 系 统 为 例 ， 目 前 系 统 对 多 核 性 能 支 持 的 比 较 好 ， 推 荐 采 用 至 强 E 系 列 处 理 器 ， O S S I M 在 漏 洞 扫 描 、 O s s e c 扫 描 、 S n o r t 事 件 分 析 时 会 消 耗 大 量 C P U ， 所 以 要 尽 量 选 择 高 性 能 C P U ， 尤 其 是 在 O S S I M   U S M 发 展 到 5 . 0 之 后 ， 数 据 库 采 用 了 M y S Q L   5 . 6 ， 对 多 C P U 处 理 能 力 需 求 更 高 。 就 内 存 而 言 ， 只 有 一 个 道 理 ， 越 大 越 好 。 当 数 据 库 的 全 部 数 据 页 能 保 存 在 缓 冲 池 中 ， 那 么 其 性 能   理 论 上 是 最 优 状 态 。 对 于 新 版 本 O S S I M ， 建 议 需 要 配 备 1 6 G 以 上 内 存 ， 经 过 长 期 测 试 ， 对 于 O S S I M   4 . 3 （ 6 4 位 ） 版 本 系 统 而 言 ， 如 果 内 存 分 配 小 于 6 G 在 实 际 测 试 中 系 统 工 作 一 段 时 间 之 后 ， 由 于 内 存 溢 出 等 问 题 ， 可 能 出 现 某 些 服 务 自 动 重 启 或 没 有 响 应 的 情 况 。         所 以 1 6 G 内 存 是 稳 定 运 行 的 一 个 经 验 值 （ 而 且 监 控 选 项 和 插 件 选 项 是 针 对 性 的 打 开 ） 另 外 系 统 还 需 要 2 T 的 存 储 空 间 ， 有 条 件 内 存 配 备 3 2 G 比 较 理 想 。 笔 者 在 测 试 环 境 中 采 用 自 己 攒 的 服 务 器 ， 配 置 如 下 ： 华 硕 P 8 Z 8 7 - K + I n t e l   I 7   4 7 7 0 K + 3 2 G 内 存 + 双 千 兆 I n t e l 网 卡 + 4 T 硬 盘 的 配 置 下 安 装 O S S I M   4 . 1 1 一 次 性 通 过 ， 运 行 效 果 比 较 理 想 。 在 持 久 存 储 上 通 常 使 用 多 块 硬 盘 组 成 R A I D 阵 列 ， O S S I M 系 统 中 常 采 用 R A I D   1 + 0 模 式 ， 但 机 械 磁 盘 本 身 的 特 性 决 定 了 其 I O P S 性 能 比 较 低 ， 而 通 过 多 块 盘 做 R A I D 虽 能 提 升 I O P S , 但 对 于 O S S I M 系 统 而 言 依 然 缓 慢 ， 所 以 对 于 有 条 件 的 企 业 建 议 采 用 固 态 硬 盘 ， 当 前 S S D 能 轻 松 达 到 5 0 0 0 0 。 固 态 硬 盘 可 分 为 P C I e 和 S A S （ S A T A ） 接 口 。 P C I e 有 着 最 好 的 性 能 ， 但 价 格 较 贵 。 而 S A S 接 口 的 一 个 好 处 是 易 于 安 装 ， 升 级 当 前 服 务 器 的 存 储 到 S A S 接 口 的 固 态 硬 盘 仅 需 拆 卸 原 来 的 机 械 硬 盘 即 可 。 而 P C I e 需 要 拆 开 服 务 器 的 背 板 ， 工 程 量 较 大 ， 普 通 系 统 工 程 师 恐 难 胜 任 。 （ 5 ） 对 于 B r o a d c o m   N e t x t r e m e 网 卡 所 遇 到 的 问 题
市 面 上 有 一 些 H P 和 D e l l 的 服 务 器 采 用 B r o a d c o m   N e t x t r e m e 网 卡 ， 这 时 安 装 O S S I M 2 . 3 这 样 低 版 本 的 系 统 就 会 遇 到 找 不 到 网 卡 驱 动 到 的 问 题 ， 因 为 D e b i a n 系 统 无 法 加 载 f i r e m w a r e b n x 2 模 块 这 时 ， 需 要 到 B r o a d c o m 官 网 下 载 F o r   D e b i a n 的 驱 动 ， 然 后 通 过 U 盘 安 装   。 成 功 加 载 驱 动 后 ， 在 系 统 内 就 能 查 看 到 详 细 信 息 ： #   d m e s g   |   g r e p   b n x 2 [         1 . 9 0 9 2 2 8 ]   B r o a d c o m   N e t X t r e m e   I I   G i g a b i t   E t h e r n e t   D r i v e r   b n x 2   v 1 . 7 . 5 [         2 . 6 3 4 0 6 0 ]   f i r m w a r e :   r e q u e s t i n g   b n x 2 - 0 6 - 4 . 0 . 5 . f w [         3 . 1 8 5 8 1 0 ]   f i r m w a r e :   r e q u e s t i n g   b n x 2 - 0 6 - 4 . 0 . 5 . f w 新 版 本 的 O S S I M 在 这 方 面 进 行 了 改 进 ， 增 加 了 f i r m w a r e - b n x 2 包 ， 这 样 一 来 能 够 支 持 B r o a d c o m   N e t x t r e m e 系 列 网 卡 。 对 于 O S S I M 服 务 器 的 数 据 存 储 问 题 ， 可 使 用 已 有 的 存 储 系 统 ， 推 荐 专 供 O S S I M 平 台 使 用 的 存 储 系 统 ， 如   I B M   S y s t e m   S t o r a g e   D S 4 0 0 0 盘 阵 等 。 另 外 网 卡 方 面 选 用 I n t e l 的 双 千 兆 网 卡 比 较 合 适 ， 另 外 在 交 换 设 备 上 做 好 S P A N 设 置 这 一 步 至 关 重 要 ， 详 细 操 作 后 面 会 讲 到 ， 需 要 将 流 量 镜 像 到 S e n s o r 的 网 络 接 口 。 1 、 介 绍 、 介 绍 O S S I M 是 S I E M 的 代 表 性 产 品 ， 在 产 品 形 式 上 和 K a l i 类 似 是 一 个 基 于 D e b a i n 进 行 二 次 开 发 的 L i n u x 发 行 版 ， 当 前 5 . 6 . 5 版 本 基 于 D i b i a n   8 （ j e s s i e ） 。 O S S I M 使 用 N m a p 等 实 现 资 产 发 现 、 使 用 N e s s u s 等 实 现 漏 洞 扫 描 、 使 用 S n o r t 等 实 现 入 侵 检 测 、 使 用 M y S Q L 等 进 行 数 据 存 储 ， 自 己 实 现 的 部 分 主 要 是 工 具 、 数 据 整 合 和 可 视 化 展 示 。 O S S I M 通 过 将 开 源 产 品 进 行 集 成 ， 从 而 提 供 一 种 能 够 实 现 安 全 监 控 功 能 的 基 础 平 台 。 它 的 目 标 是 提 供 一 种 集 中 式 、 有 组 织 的 ， 能 够 更 好 地 进 行 监 测 和 显 示 的 框 架 式 系 统 。 O S S I M   明 确 定 位 为 一 个 集 成 解 决 方 案 ， 其 目 标 并 不 是 要 开 发 一 个 新 的 功 能 ， 而 是 利 用 丰 富 的 、 强 大 的 各 种 程 序 （ 包 括 M r t g 、 S n o r t 、 N m a p 、 O p e n v a s 以 及 N t o p 等 开 源 系 统 安 全 软 件 ） 。 在 一 个 保 留 它 们 原 有 功 能 和 作 用 的 开 放 式 架 构 体 系 环 境 下 ， 将 它 们 集 成 起 来 。 到 目 前 为 止 ， O S S I M 支 持 多 达 两 千 多 种 插 件 ， 由 于 开 源 项 目 的 优 点 ， 这 些 工 具 已 经 久 经 考 验 ， 同 时 也 经 过 全 方 位 测 试 ， 更 加 可 靠 。 （ 图 片 来 源 于 网 络 ）   2 、 O S S I M 数 据 架 构 及 组 成 O S S I M 系 统 结 构 包 括 三 个 层 次 ： 数 据 采 集 层 、 核 心 处 理 层 和 数 据 展 现 层 。 系 统 结 构 包 括 三 个 层 次 ： 数 据 采 集 层 、 核 心 处 理 层 和 数 据 展 现 层 。 第 一 层 ， 属 于 数 据 采 集 层 ， 使 用 各 种 采 集 技 术 采 集 流 量 信 息 、 日 志 、 各 种 资 产 信 息 ， 经 过 归 一 化 处 理 后 传 入 核 心 层 。 该 层 体 现 安 全 事 件 来 源 ， 入 侵 检 测 、 防 火 墙 、 重 要 主 机 发 出 的 日 志 都 是 安 全 事 件 来 源 ， 对 于 O S S I M 而 言 ， 数 据 越 多 越 好 ， 如 果 没 有 手 机 足 够 的 数 据 ， O S S I M 就 无 法 进 行 全 面 分 析 。 它 们 按 发 出 机 制 分 为 两 类 ： 模 式 侦 查 器 和 异 常 监 控 （ 两 者 都 采 集 警 告 信 息 ， 功 能 互 补 ） ， 由 它 们 采 集 的 安 全 事 件 ， 再 被 A g e n t 转 换 为 统 一 的 格 式 发 到 O S S I M 服 务 器 ， 这 一 层 就 是 S e n s o r 要 完 成 的 内 容 。 第 二 层 ， 属 于 核 心 处 理 层 ， 主 要 实 现 对 各 种 数 据 的 深 入 加 工 处 理 ， 包 括 运 行 监 控 、 安 全 分 析 、 策 略 管 理 、 风 险 评 估 、 关 联 分 析 、 安 全 对 象 管 理 、 脆 弱 性 管 理 、 时 间 管 理 、 报 表 管 理 等 。 该 层 中 O S S I M   S e r v e r 是 主 角 ， O S S I M 服 务 器 主 要 功 能 是 安 全 事 件 的 几 种 ， 并 对 几 种 后 的 时 间 进 行 关 联 分 析 ， 风 险 评 估 及 严 重 性 标 准 等 。 所 谓 的 集 中 就 是 以 一 种 统 一 格 式 组 织 所 有 系 统 产 生 的 安 全 事 件 告 警 信 息 ， 并 将 所 有 的 网 络 安 全 事 件 告 警 存 储 到 数 据 库 ， 这 样 就 完 成 了 对 网 络 中 所 产 生 事 件 的 一 个 庞 大 试 图 。 系 统 通 过 事 件 序 列 关 联 和 启 发 式 算 法 关 联 来 更 好 的 识 别 误 报 和 侦 查 攻 击 的 能 力 。 O S S I M 本 质 上 通 过 对 各 种 探 测 器 和 监 控 产 生 的 告 警 进 行 格 式 化 处 理 ， 再 进 行 关 联 分 析 ， 通 过 后 期 处 理   ， 能 提 高 检 测 性 能 ， 即 减 少 告 警 数 量 ， 减 少 关 联 引 擎 的 压 力 ， 从 整 体 上 提 高 告 警 质 量 。 第 三 层 ， 数 据 数 据 表 现 层 ， 主 要 负 责 完 成 与 用 户 之 间 的 交 互 ， 达 到 安 全 预 警 和 时 间 监 控 、 安 全 运 行 监 控 、 综 合 分 析 的 统 一 展 示 ， 形 式 上 以 图 形 化 方 式 展 示 给 用 户 。 W e b 框 架 控 制 台 界 面 即 O S S I M 的 W e b   U I ， 其 实 就 是 O S S I M 系 统 对 外 的 门 户 站 点 ， 它 主 要 由 仪 表 盘 、 S I E M 控 制 台 、 A l a r m 控 制 台 、 资 产 漏 洞 扫 描 管 理 、 可 靠 性 监 控 、 报 表 及 系 统 策 略 等 部 分 组 成 。 2 . 1   主 要 模 块 的 关 系 从 使 用 的 开 发 工 具 上 ， O S S I M 系 统 主 要 采 用 了 P H P 、 P Y T H O N 、 P e r l 、 E r l a n g 、 R u b y 、 A j a x 和 C 这 几 种 编 程 语 言 ， 从 软 件 层 面 上 看 O S S I M 框 架 系 统 包 括 五 大 模 块 ： A g e n t 模 块 、 S e r v e r 模 块 、 D a t a b a s e 数 据 库 模 块 、 F r a m e w o r k d 模 块 以 及 F r a m e w o r k 模 块 。 （ 1 ） A g e n t 至 S e r v e r ： 来 自 各 个 传 感 器 的 安 全 事 件 被 对 应 A g e n t 格 式 化 后 ， 以 加 密 字 符 串 传 给 S e r v e r 。
（ 2 ） S e r v e r 至 A g e n t ： 发 送 有 关 请 求 命 令 ， 以 字 符 串 方 式 向 A g e n t 传 送 ， 主 要 是 要 求 A g e n t 完 成 插 件 的 启 动 停 止 及 获 取 信 息 等 。 （ 3 ） S e r v e r 至 F r a m e w o r k d ： 发 送 请 求 命 令 ， 要 求 F r a m e w o r k d 针 对 A l a r m 采 取 相 应 操 作 ， 例 如 执 行 外 部 程 序 或 发 出 E m a i l 来 通 知 管 理 员 。 （ 4 ） F r a m e w o r k 至 S e r v e r ： 发 送 请 求 命 令 至 S e r v e r 。 要 求 S e r v e r 通 知 A g e n t 对 插 件 进 行 启 动 、 停 止 等 操 作 。 （ 5 ） F r a m e w o r k 至 F r a m e w o r k d ： 发 送 请 求 命 令 ， 要 求 F r a m e w o r k d 启 动 O p e b V A S 扫 描 进 行 。 （ 6 ） F r a m e w o r k d 至 F r a m e w o r k : 传 送 O p e b V A S 扫 描 结 果 在 前 端 页 面 中 显 示 。 （ 7 ） D a t a b a s e 至 A g e n t 和 S e r v e r ： 向 A g e n t 和 S e r v e r 提 供 数 据 。 （ 8 ） S e r v e r 至 D a t a b a s e ： S e r v e r 需 要 将 E v e n t s 、 A l a r m s 等 数 据 存 入 数 据 库 并 索 引 或 更 新 操 作 。 （ 9 ） D a t a b a s e 至 F r a m e w o r k d ： 在 F r a m e w o r k d 中 的 O p e n v a s 扫 描 和 动 作 需 要 调 用 数 据 库 里 的 数 据 。 （ 1 0 ） F r a m e w o r k d 至 D a t a b a s e ： 在 F r a m e w o r k d 执 行 过 程 中 将 O p e n v a s 扫 描 结 果 存 入 数 据 库 。 （ 1 1 ） D a t a b a s e 至 F r a m e w o r k ： P H P 页 面 显 示 需 要 调 用 数 据 库 的 告 警 事 件 。 （ 1 2 ） F r a m e w o r k 至 D a t a b a s e ： 用 户 参 数 设 置 信 息 需 要 存 入 数 据 库 。 2 . 2   安 全 插 件 O S S I M 系 统 中 插 件 很 多 ， 可 将 它 们 分 为 采 集 插 件 和 监 视 插 件 。 每 个 插 件 又 细 分 为 I D 和 S I D 。 采 集 插 件 主 要 通 过 S N M P 、 S y s l o g 、 W M I 等 协 议 进 行 采 集 ， 在 S e n s o r 中 常 见 采 集 插 件 有 o s s e c - s i n g l e - l i n e 、 s s h 、 s y s l o g 、 w m i - s y s t e m - l o g g e r 等 ， 其 中 S N M P 与 W M I 协 议 需 要 A g e n t 采 集 数 据 时 主 动 进 行 所 采 集 数 据 的 抓 取 ， S y s l o g 协 议 则 被 动 接 受 采 集 数 据 。 监 控 插 件 包 括 m a l w a r e d o m a i n l i s t 、 n u s s u s 、 n m a p 、 n t o p 、 o c s 、 o s s i m 等 2 . 3   采 集 与 监 控 插 件 的 区 别 O S S I M 系 统 的 S e n s o r 端 包 含 了 采 集 和 监 控 ， 这 两 类 插 件 统 称 为 安 全 插 件 ， 它 们 都 安 装 在 S e n s o r 上 。 虽 然 它 们 都 称 为 插 件 可 工 作 原 理 却 不 同 ， 检 测 插 件 是 检 测 器 信 息 产 生 后 ， 由 代 理 自 动 向 服 务 器 发 送 ， 包 括 S n o r t 、 A p a c h e 等 ， 而 检 测 器 插 件 需 要 主 动 采 集 安 全 设 备 接 口 上 的 信 息 ， 这 类 插 件 可 分 为 S n o r t 、 P 0 f 、 P r a d s 、 A r p w a t c h 、 A p a c h e 、 S s h 、 S u d o 等 。 监 控 插 件 ， 必 须 由 服 务 器 主 动 发 起 查 询 请 求 。 监 控 插 件 中 定 义 了 需 要 主 动 采 集 的 安 全 设 备 接 口 ， 该 模 块 接 收 控 制 中 心 发 出 的 命 令 和 查 询 ， 在 O S S I M 系 统 中 典 型 M o n i t o r 插 件 有 N m a p 、 N e s s u s 等 。 读 者 可 在 A l i e n v a u l t 控 制 台 的 S e n s o r 配 置 中 查 看 。
对 O S S I M 插 件 位 置 的 说 明 ： 在 安 装 时 系 统 将 支 持 的 插 件 ， 全 部 复 制 到 目 录 / e t c / o s s i m / a g e n t / p l u g i n s / 中 ， 如 N a g i o s 插 件 的 扩 展 名 为 “ . c f g ” 的 文 本 文 件 ， 可 以 用 任 何 编 辑 器 修 改 ， 在 每 个 插 件 配 置 文 件 中 最 难 理 解 的 当 属 正 则 表 达 式 。 2 . 4   代 理 与 插 件 的 区 别 初 学 者 常 混 淆 代 理 和 插 件 的 概 念 ， S e n s o r 指 软 件 和 硬 件 的 传 感 器 被 安 装 在 网 络 中 收 集 和 发 送 数 据 ， 而 代 理 是 运 行 在 传 感 器 上 ， 用 来 收 集 和 发 送 数 据 到 服 务 器 的 一 段 脚 本 ， 一 个 插 件 需 要 了 解 特 定 系 统 的 日 志 格 式 ， 并 通 过 插 件 来 采 集 数 据 。 系 统 中 如 果 启 用 插 件 越 多 ， 那 么 采 集 到 网 络 中 的 各 种 数 据 就 越 全 面 。 在 S e n s o r 中 加 载 过 多 的 插 件 ， 将 会 占 用 O S S I M   S e r v e r 的 数 据 库 空 间 ， 下 面 的 这 条 经 验 值 需 要 读 者 了 解 ， 系 统 中 每 条 事 件 ， 约 占 用 1 K B 存 储 空 间 ， 而 1 m i l l i o s 的 时 间 量 ， 大 约 占 1 . 5 G B 空 间 。 2 . 5   传 感 器 传 感 器 俗 称 探 针 ， 用 来 收 集 监 控 网 段 内 各 类 资 产 的 信 息 ， 它 工 作 在 网 卡 的 嗅 探 模 式 。 O S S I M 系 统 中 ， 把 A g e n t 和 插 件 构 成 的 一 个 具 有 网 络 行 为 监 控 功 能 的 组 合 成 为 一 个 传 感 器 ， S e n s o r 的 功 能 范 围 主 要 有 ： 入 侵 检 测 ： （ 最 新 版 已 换 成 支 持 多 线 程 的 S u r i c a t e ） 。 漏 洞 扫 描 ： （ O p e n V A S 、 N m a p ） 。 异 常 检 测 ： （ P 0 f 、 P r a d s 、 A R P W a t c h 等 ） A R P W a t c h 主 要 监 视 网 络 中 新 出 现 的 M A C 地 址 ， 它 包 含 1 个 监 视 库 ， 名 为 a r p . d a t ， 在 O S S I M 中 位 于 / v a r / l i b / a r p w a t c h / a r p / d a t ， 所 以 它 同 样 是 A I D E 监 控 的 对 象 。 2 . 6   关 联 引 擎 关 联 引 擎 是 O S S I M 安 全 集 成 管 理 系 统 的 核 心 部 分 ， 它 支 持 分 布 式 运 行 ， 负 责 将 A g e n t 传 送 来 的 归 一 化 安 全 事 件 进 行 关 联 分 析 ， 并 对 网 络 资 产 进 行 风 险 评 估 ， 其 工 作 流 程 如 图 （ 图 片 来 源 于 网 络 ） ：
  O S S I M 服 务 器 的 核 心 组 件 功 能 包 含 ： 事 件 关 联 、 风 险 评 估 和 确 认 优 先 次 序 和 身 份 管 理 、 报 警 和 调 度 、 策 略 管 理 、 I P 信 誉 管 理 等 ， 其 配 置 文 件 在 / e t c / o s s i m / s e r v e r 目 录 中 ， 文 件 分 别 为 ： A l i e n v a y l t - a t t a c k s . x m l A l i e n v a y l t - b r u t e f o r c e . x m l A l i e n v a y l t - d o s . x m l A l i e n v a y l t - m a l w a r e . x m l A l i e n v a y l t - n e t w o r k . x m l A l i e n v a y l t - s c a n . x m l A l i e n v a y l t - p o l i c y . x m l 以 上 这 些 文 件 由 开 源 O S S I M 免 费 提 供 ， 策 略 为 8 4 条 ， 在 U S M 中 则 具 有 2 0 0 0 多 条 。 它 们 采 用 X M L 编 写 易 于 理 解 ， 维 护 简 单 。 如 图 ： 关 联 引 擎 的 结 构 （ 图 片 来 源 于 网 络 ）   （ 1 ） 4 0 0 0 1 / t c p ： S e r v e r 首 先 监 听 4 0 0 0 1 / t c p 端 口 ， 接 收 A g e n t 连 接 和 F r a m e w o r k 请 求 。 该 端 口 大 小 由 O S S I M 系 统 在 配 置 文 件 / e t c / o s s i m / o s s i m _ s e t u p . c o n f 中 定 义 。 我 们 在 O S S I M 系 统 中 通 过 命 令 可 以 清 晰 的 看 到 其 工 作 端 口 。 1 s o f   - P n 1   + M   - i 4   |   g r e p   o s s i m - s e r （ 2 ） C o n n e c t : 当 连 接 到 端 口 为 4 0 0 0 2 指 定 的 A g e n t 时 ， 连 接 到 端 口 为 4 0 0 0 1 的 其 他 S e r v e r 对 采 集 事 件 进 行 分 配 和 传 递 。 该 端 口 在 e t c / o s s i m / a g e n t / c o n f i g . c f g 文 件 的 [ o u t p u t - i d m ] 项 配 置 ， 不 建 议 更 改 。 （ 3 ） L i s t e n e r : 接 收 各 个 A g e n t 的 连 接 数 据 ， 并 细 分 为 F o r w a r d i n g   S e r v e r 连 接 、 F r a m e w o r k 连 接 。 （ 4 ） D B   C o n n e c t : 主 要 是 O S S I M   D B 连 接 、 S n o r t   D B 连 接 和 O S S E C   D B 连 接 。 （ 5 ） A g e n t   C o n n e c t ： 启 动 A g e n t 连 接 ， F o r w a r d i n g   S e r v e r 连 接 。 （ 6 ） E n g i n e ： 事 件 的 授 权 、 关 联 、 分 类 。 关 联 引 擎 启 动 O S S I M 系 统 会 启 动 关 联 引 擎 ， 有 时 系 统 调 试 也 需 要 用 到 手 工 启 动 方 式 ， 命 令 如 下 ： o s s i m - s e r v e r   - d   - c   / e t c / o s s i m / s e r v e r / c o n f i g . x m l 查 看 O S S I M   S e r v e r 版 本 o s s i m - s e r v e r   - v 2 . 7   数 据 库 （ D a t a b a s e ） O S S I M 关 联 引 擎 （ 简 称 O S S I M   S e r v e r ） 将 事 件 关 联 结 果 写 入 数 据 库 。 系 统 用 户 可 通 过 F r a m e w o r k （ W e b 前 端 控 制 台 ） 对 D a t a b a s e 进 行 访 问 。 数 据 库 中 a l i e n v a u l t . e v e n t 表 是 整 个 系 统 事 件 分 析 和 策 略 调 整 的 信 息 源 。 O S S I M 从 总 体 上 将 其 划 分 为 事 件 数 据 库 ( E D B ) 、 知 识 数 据 库 ( K D B ) 、 用 户 数 据 库 ( U D B ) 。 O S S I M 数 据 库 用 来 记 录 与 安 全 事 件 关 联 及 配 置 等 相 关 的 信 息 ， 对 应 于 设 计 阶 段 的 K D B 和 E D B 的 关 联 事 件 部 分 。 在 F r a m e w o r k 中 使 用 A C I D / B A S E 来 作 为 S n o r t 数 据 库 的 前 端 控 制 台 ， 对 应 于 设 计 阶 段 的 E D B 。 此 外 A C L 数 据 库 相 关 表 格 可 包 含 在 O S S I M 数 据 库 中 ， 用 来 记 录 用 户 行 为 ， 对 应 于 设 计 阶 段 的 U D B 库 。 O S S I M 数 据 库 可 分 为 关 系 型 数 据 库 和 非 关 系 型 数 据 库 。 O S S I M 系 统 默 认 使 用 M y S q l 监 听 端 口 是 3 3 0 6 ， 为 增 强 其 处 理 性 能 ， 在 A l i e n v a u l t   U S M 中 采 用 M o n g o   D B 作 为 非 关 系 型 数 据 库 。 在 2 0 1 3 年 将 O S S I M   4 . 2 发 行 版 中 庸 P e r c o n a _ s e r v e r 5 . 5 替 换 了 原 来 的 M y S q l 5 . 1 ， 由 于 使 用 了 X t r a D B 存 储 引 擎 ， 而 且 对 M y S q l 进 行 了 优 化 和 改 进 ， 使 其 在 功 能 和 性 能 上 明 显 提 升 。 在 2 0 1 5 年 最 新 版 本 U S M 5 . 0 中 将 P e r c o n a _ s e r v e r 升 级 为 功 能 强 大 的 5 . 6 . 2 3 。 O S S I M 主 要 版 本 数 据 库 变 迁 如 下 ：
2 . 8   W e b 框 架 （ F r a m e w o r k ） 在 前 面 介 绍 过 O S S I M 系 统 涉 及 L A M P 环 境 ， 由 P e r l / P y t h o n / P H P 开 发 工 具 融 合 在 一 起 （ 在 / u s r / s h a r e / o s s i m / s c r i p t s / 等 路 径 下 有 着 大 量 * . p y 、 * . s h 和 * . p h p 、 * . p l 等 脚 本 文 件 ） ， 它 们 发 挥 各 自 的 优 势 ， 其 中 W e b 框 架 （ F r a m e w o r k ） 控 制 台 ， 提 供 用 户 W e b 页 面 从 而 控 制 系 统 的 运 行 （ 例 如 设 置 策 略 ） ， 是 整 个 系 统 的 前 端 ， 用 来 实 现 用 户 和 系 统 之 间 的 交 互 F r a m e w o r k 可 以 细 分 为 2 个 部 分 ： F r o n t e n d （ 可 视 化 管 理 前 端 ） 主 要 采 用 P H P 语 言 编 写 ， 它 是 系 统 的 一 组 W e b 页 面 ； F r a m e w o r k 是 一 个 守 护 进 程 ， 采 用 P y t h o n 编 写 ， 主 要 脚 本 在 / u s r / s h a r e / o s s i m - f r a m e w o r k / o s s i m f r a m e w o r k / 目 录 下 ， 它 绑 定 O S S I M 的 知 识 库 和 事 件 库 ， 监 听 端 口 4 0 0 0 3 （ 在 / e t c / o s s i m / o s s i m _ s e t u p . c o n f 配 置 文 件 以 及 / e t c / o s s i m / s e r v e r / c o n f i g . x m l 中 ） 可 以 查 看 到 相 关 端 口 定 义 的 信 息 ， 同 样 通 过 命 令 查 看 ： L s o f     - P n l   + M   - i 4 | g r e p   o s s i m - f r a   通 过 以 上 命 令 可 以 清 楚 查 看 到 服 务 器 端 口 信 息 ， 了 解 这 些 信 息 对 于 我 们 理 解 他 的 工 作 原 理 有 好 处 ， 它 负 责 将 F r o n t e n d 收 到 的 用 户 质 量 和 系 统 的 其 他 组 件 相 关 联 ， 并 绘 制 W e b 图 表 供 前 端 显 示 。 在 O S S I M 系 统 中 ， F r a m e w o r k 安 装 了 A p a c h e + P H P + A d o d b 来 搭 建 支 持 P H P 的 W e b   S e r v e r , 安 装 p h p g a c l 处 理 用 户 权 限 ， 安 装 M r t g 、 R R d t o o l 绘 制 监 控 图 ， 安 装 A C I D / B A S E 作 为 事 件 的 前 端 控 制 台 。   当 O S S I M   S e r v e r 停 止 运 行 后 ， 它 将 不 再 监 听 4 0 0 0 1 端 口 ， 此 时 传 感 器 发 送 回 来 的 数 据 也 就 无 法 收 集 到 ， 首 先 查 看 端 口 情 况 ： n e t s t a t   - l n t   |   g r e p   4 0 0 0   如 图 是 正 常 时 4 0 0 0 1 、 4 0 0 0 2 、 4 0 0 0 3 、 4 0 0 0 4 端 口 处 于 监 听 状 态 ， 一 旦 出 现 状 况 后 只 有 4 0 0 0 3 端 口 在 监 听 。 3 、 缓 存 与 消 息 列 队 3 . 1   R a b b i t M Q
R a b b i t M Q 是 实 现 A M Q P （ 高 级 消 息 列 队 协 议 ） 消 息 中 间 件 的 一 种 ， 它 是 消 息 中 间 件 的 开 发 标 准 ， 与 平 台 无 关 ， 现 用 于 O S S I M 分 布 式 系 统 中 存 储 转 发 消 息 ， 其 工 作 原 理 如 图 ：   为 什 么 要 使 用 R a b b i t M Q ？ 在 高 并 发 情 况 下 ， R a b b i t M Q 在 处 理 发 送 和 接 收 请 求 时 响 应 非 常 快 速 ， 而 且 对 其 性 能 调 优 后 ， 系 统 响 应 速 度 还 会 有 所 提 高 。 R a b b i t M Q 使 用 E r l a n g 编 写 的 A M Q P 服 务 器 ， 而 A M Q P 基 于 客 户 端 / 代 理 模 式 。 在 大 数 据 日 志 分 析 应 用 中 ， 我 们 常 将 O S S I M 做 成 集 群 模 式 ， 因 为 这 样 可 以 使 用 R a b b i t M Q 节 点 ， 根 据 日 志 种 类 建 立 响 应 的 队 列 ， 并 且 根 据 日 志 种 类 的 名 称 建 立 e x c h a n g e 的 k e y 值 。 R a b b i t M Q 通 信 端 口 为 5 6 7 2 . O S S I M 中 我 们 通 过 以 下 命 令 查 看 端 口 。 n e t s t a t   - n a   |   g r e p   5 6 7 2   R a b b i t M Q 环 境 变 量 的 配 置 文 件 位 于 / e t c / r a b b i t m q / r a b b i t m q - e n v . c o n f ， 使 用 时 需 要 查 询 R a b b i t M Q 状 态 命 令 ， 方 法 如 下 ： r a b b i t m q - s e r v e r   a l i e n v a u l t       这 里 的 a l i e n v a u l t 代 表 O S S I M   S e r v e r 的 主 机 名 称 此 时 ， 能 显 示 R a b b i t M Q 的 端 口 、 节 点 名 称 和 主 目 录 （ / v a r / l i b / r a b b i t m q ） 。 * * * 提 示 ： 永 远 不 要 用 k i l l 命 令 直 接 停 止 R a b b i t M Q 服 务 器 ， 而 应 该 采 用 r a b b i t m q c t l 命 令 ， 这 样 可 以 将 数 据 同 步 保 存 到 磁 盘 ， 然 后 关 闭 服 务 ： R a b b i t m q c t l   s t o p 3 . 2   选 择 K e y / V a l u e 存 储 早 期 O S S I M 版 本 中 依 然 采 用 M y S Q L + M e m c a c h e d 的 架 构 存 储 数 据 ， 由 于 存 在 性 能 和 一 致 性 的 问 题 ， 在 O S S I M 4 . 4 后 续 版 本 中 引 入 r e d i s 服 务 器 ， 有 读 者 会 问 为 什 么 选 用 K e y / V a l u e 存 储 ？ 从 S I E M 收 集 信 息 的 角 度 出 发 ， 无 论 日 志 还 是 安 全 事 件 都 属 于 非 结 构 化 数 据 ， 在 日 志 关 联 分 析 时 ， 非 结 构 化 的 数 据 量 会 大 大 超 过 结 构 化 数 据 ， 这 些 数 据 之 间 存 在 关 联 ， 如 果 将 这 些 数 据 直 接 存 入 数 据 库 ， 那 么 对 数 据 库 访 问 频 率 将 增 加 ， 由 于 单 个 表 行 数 的 猛 增 ， 对 表 的 访 问 行 数 成 比 例 增 加 ， 在 多 个 表 之 间 的 数 据 调 用 将 会 产 生 大 量 的 计 算 ， 足 以 将 任 何 一 个 数 据 分 析 系 统 压 垮 。 在 分 析 O S S I M 系 统 各 集 成 开 源 工 具 中 发 现 系 统 没 有 进 行 持 久 化 ， 如 果 R a b b i t M Q 服 务 器 重 启 会 导 致 消 息 丢 失 ， 所 以 采 用 r e d i s   S e r v e r   来 解 决 这 些 问 题 ， R e d i s 是 一 个 K e y / V a l u e 是 的 N o S Q L 数 据 库 ， r e d i s 作 为 缓 存 服 务 器 ， 数 据 存 储 在 内 存 ， 所 以 速 度 比 m y s q l 要 快 的 多 ， 尤 其 在 O S S I M 的 W E B   U I 中 很 多 的 排 行 榜 应 用 ， 取 出 T O P   1 0 的 操 作 ： 包 括 各 种 仪 表 盘 、 计 算 器 应 用 、 S I E M 控 制 台 的 U n i q 操 作 、 获 取 某 段 时 间 所 有 数 据 的 列 表 、 取 最 新 的 T O P   N 操 作 ， 以 及 在 分 布 式 日 志 收 集 系 统 中 消 息 列 队 的 处 理 ， 包 括 爆 表 输 出 中 产 生 T O P 1 0   A t t a c k e r   H o s t 、 T o p   1 0   U s e r   P o r t s 、 T o p   1 5   A l a r m s ， 这 些 都 要 用 到 r e d i s 服 务 。 3 . 3   O S S I M 下 操 作 R e d i s 下 面 列 举 了 常 见 的 有 关 R e d i s 的 操 作 实 例 。 （ 1 ） 查 询 R e d i s 端 口 是 否 被 占 用 使 用 如 下 命 令 。 N e t s t a t   - n t l p   |   g r e p   6 3 7 9   （ 2 ） 查 询 R e d i s 服 务 是 否 运 行 p s   x a l   |   g r e p   r e d i s
  （ 3 ） 测 试 启 动 。 返 回 P O N G 表 示 启 动 成 功 R e d i s - c l i   p i n g   注 意 启 动 R e d i s 客 户 端 的 命 令 为 R e d i s - c l i . （ 4 ） 查 看 服 务 器 的 统 计 信 息 （ 以 O S S I M   U S M 为 例 ） 。 R e d i s - c l i   i n f o   在 这 些 统 计 信 息 中 ， 以 下 内 容 需 要 了 解 。 （ 截 图 来 源 于 网 络 ）   （ 5 ） 查 看 实 时 转 储 收 到 的 请 求 。 R e d i s - c l i   m o n i t o r 4 、 部 署 步 骤 如 下 ： 、 部 署 步 骤 如 下 ： 硬 件 资 源 需 求 基 础 配 置 ： C P U - - - - 2 * 2 ， 内 存 - - - - 8 G ， 硬 盘 - - - - 2 0 G 以 上 以 下 是 我 安 装 完 成 后 未 创 建 任 何 扫 描 等 任 务 时 的 C P U 、 内 存 、 磁 盘 使 用 情 况 。
安 装 准 备 V M w a r e 就 和 普 通 虚 拟 机 一 样 ， 创 建 L i n u x 虚 拟 机 设 置 好 I S O 文 件 即 可 。 不 过 要 注 意 操 作 系 统 选 D e b i a n （ 第 几 版 本 倒 影 响 不 大 ） ， 我 选 C e n t O S 的 时 候 发 现 是 直 接 运 行 i s o 了 并 没 有 进 入 安 装 。 真 机 安 装 就 用 U l t r a I S O 等 制 作 一 下 启 动 盘 ， 然 后 从 U 盘 启 动 即 可 ， 后 续 安 装 步 骤 就 完 全 和 虚 拟 机 安 装 一 样 。 不 过 我 在 一 台 真 机 安 装 有 一 个 问 题 ， 完 成 后 启 动 时 一 直 停 在 " l o a d i n g , p l e a s e   w a i t “ 并 没 有 正 常 出 现 登 录 界 面 ， 不 知 是 某 些 机 器 的 b u g 还 是 普 遍 存 在 （ 注 意 这 不 是 操 作 系 统 启 不 来 ， 此 时 系 统 和 应 用 都 已 经 启 来 了 ， 使 用 安 装 时 设 置 的 i p 和 密 码 通 过 s s h 上 去 即 可 正 常 使 用 ） 。 由 镜 像 文 件 启 动 系 统 （ A l i e n V a u l t _ O S S I M _ 6 4 b i t s ）   经 过 多 次 测 试 ， 给 4 G 内 存 大 多 无 法 启 动 服 务 或 者 启 动 起 来 卡 死 。 建 议 8 G 内 存 运 行 环 境 。   此 处 我 选 择 桥 接 模 式 ， 因 为 稍 后 测 试 中 扫 描 资 产 会 扫 描 和 O S S I M 同 网 段 的 公 司 电 脑 。  
  大 概 流 程 如 下 ： 在 " I n s t a l l   O S S I M " 界 面 ， 点 击 " I n s t a l l   A l i e n t V a u l t   O S S I M   5 . 0   ( 6 4   B i t ) " （ 此 为 混 合 安 装 模 式 ， 下 面 那 个 是 s e n s o r ， 也 就 是 一 般 所 谓 的 收 集 信 息 的 代 理 端 ） ； 之 后 " 选 择 你 的 区 域 " 界 面 ， ， " 配 置 键 盘 " ， " 配 置 网 络 " 界 面 ，   " 设 置 用 户 和 密 码 " 。 选 O S S I M 。 O S S I M 包 含 服 务 器 组 件 + S e n s o r ， S e n s o r 相 当 于 一 个 C l i e n t 。   语 言 选 择 ， 简 体 中 文 支 持 似 乎 说 不 太 好 ， 直 接 英 文 即 可 要 选 中 文 也 可 以 。   之 后 按 操 作 提 示 来 （ 首 先 要 确 认 你 部 署 O S S I M 所 在 网 关 ） 下 几 步 是 网 络 设 置 ， 为 了 避 免 安 装 完 后 还 要 手 动 纠 正 网 络 这 里 最 好 正 确 填 写 要 设 置 的 i p 、 掩 码 、 网 关 。    
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理