搜索

[21121] 2020-07-07_OSSIM操作实践

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-07-07_OSSIM操作实践 O S S I M 操 作 实 践 原 创   L e m o n   S e c P u l s e 安 全 脉 搏   2 0 2 0 - 0 7 - 0 7 最 近 公 司 要 求 部 署 O S S I M ， 在 对 O S S I M 使 用 的 过 程 中 ， 详 细 通 读 了 李 晨 光 老 师 的 《 O S S I M 最 佳 实 践 》 一 书 ， 书 中 对 于 O S S I M 部 署 操 作 以 及 S e n s o r 操 作 都 有 详 细 介 绍 。 有 在 甲 方 做 安 全 运 维 并 需 要 用 到 O S S I M 的 的 小 伙 伴 建 议 可 以 买 一 本 。 在 对 O S S I M 部 署 的 过 程 中 ， 遇 到 很 多 问 题 ， 在 百 度 中 寻 找 答 案 时 ， 发 现 关 于 O S S I M 的 文 章 很 少 ， 所 查 到 的 资 料 也 大 多 千 篇 一 律 的 都 是 基 础 类 而 很 少 有 实 际 操 作 类 。 以 下 是 本 人 在 读 《 O S S I M 最 佳 实 践 》 一 书 时 ， 并 在 O S S I M 操 作 过 程 中 所 总 结 的 O S S I M 原 理 、 O S S I M 的 部 署 等 ， 仅 供 参 考 ， 也 欢 迎 有 人 提 出 问 题 一 起 学 习 。 1 、 介 绍 、 介 绍 O S S I M 通 过 将 开 源 产 品 进 行 集 成 ， 从 而 提 供 一 种 能 够 实 现 安 全 监 控 功 能 的 基 础 平 台 。 它 的 目 标 是 提 供 一 种 集 中 式 、 有 组 织 的 ， 能 够 更 好 地 进 行 监 测 和 显 示 的 框 架 式 系 统 。 O S S I M   明 确 定 位 为 一 个 集 成 解 决 方 案 ， 其 目 标 并 不 是 要 开 发 一 个 新 的 功 能 ， 而 是 利 用 丰 富 的 、 强 大 的 各 种 程 序 （ 包 括 M r t g 、 S n o r t 、 N m a p 、 O p e n v a s 以 及 N t o p 等 开 源 系 统 安 全 软 件 ） 。 在 一 个 保 留 它 们 原 有 功 能 和 作 用 的 开 放 式 架 构 体 系 环 境 下 ， 将 它 们 集 成 起 来 。 到 目 前 为 止 ， O S S I M 支 持 多 达 两 千 多 种 插 件 ， 由 于 开 源 项 目 的 优 点 ， 这 些 工 具 已 经 久 经 考 验 ， 同 时 也 经 过 全 方 位 测 试 ， 更 加 可 靠 。 （ 图 片 来 源 于 网 络 ）   2 、 O S S I M 数 据 架 构 及 组 成 O S S I M 系 统 结 构 包 括 三 个 层 次 ： 数 据 采 集 层 、 核 心 处 理 层 和 数 据 展 现 层 。 系 统 结 构 包 括 三 个 层 次 ： 数 据 采 集 层 、 核 心 处 理 层 和 数 据 展 现 层 。 第 一 层 ， 属 于 数 据 采 集 层 ， 使 用 各 种 采 集 技 术 采 集 流 量 信 息 、 日 志 、 各 种 资 产 信 息 ， 经 过 归 一 化 处 理 后 传 入 核 心 层 。 该 层 体 现 安 全 事 件 来 源 ， 入 侵 检 测 、 防 火 墙 、 重 要 主 机 发 出 的 日 志 都 是 安 全 事 件 来 源 ， 对 于 O S S I M 而 言 ， 数 据 越 多 越 好 ， 如 果 没 有 手 机 足 够 的 数 据 ， O S S I M 就 无 法 进 行 全 面 分 析 。 它 们 按 发 出 机 制 分 为 两 类 ： 模 式 侦 查 器 和 异 常 监 控 （ 两 者 都 采 集 警 告 信 息 ， 功 能 互 补 ） ， 由 它 们 采 集 的 安 全 事 件 ， 再 被 A g e n t 转 换 为 统 一 的 格 式 发 到 O S S I M 服 务 器 ， 这 一 层 就 是 S e n s o r 要 完 成 的 内 容 。 第 二 层 ， 属 于 核 心 处 理 层 ， 主 要 实 现 对 各 种 数 据 的 深 入 加 工 处 理 ， 包 括 运 行 监 控 、 安 全 分 析 、 策 略 管 理 、 风 险 评 估 、 关 联 分 析 、 安 全 对 象 管 理 、 脆 弱 性 管 理 、 时 间 管 理 、 报 表 管 理 等 。 该 层 中 O S S I M   S e r v e r 是 主 角 ， O S S I M 服 务 器 主 要 功 能 是 安 全 事 件 的 几 种 ， 并 对 几 种 后 的 时 间 进 行 关 联 分 析 ， 风 险 评 估 及 严 重 性 标 准 等 。 所 谓 的 集 中 就 是 以 一 种 统 一 格 式 组 织 所 有 系 统 产 生 的 安 全 事 件 告 警 信 息 ， 并 将 所 有 的 网 络 安 全 事 件 告 警 存 储 到 数 据 库 ， 这 样 就 完 成 了 对 网 络 中 所 产 生 事 件 的 一 个 庞 大 试 图 。 系 统 通 过 事 件 序 列 关 联 和 启 发 式 算 法 关 联 来 更 好 的 识 别 误 报 和 侦 查 攻 击 的 能 力 。 O S S I M 本 质 上 通 过 对 各 种 探 测 器 和 监 控 产 生 的 告 警 进 行 格 式 化 处 理 ， 再 进 行 关 联 分 析 ， 通 过 后 期 处 理   ， 能 提 高 检 测 性 能 ， 即 减 少 告 警 数 量 ， 减 少 关 联 引 擎 的 压 力 ， 从 整 体 上 提 高 告 警 质 量 。 第 三 层 ， 数 据 数 据 表 现 层 ， 主 要 负 责 完 成 与 用 户 之 间 的 交 互 ， 达 到 安 全 预 警 和 时 间 监 控 、 安 全 运 行 监 控 、 综 合 分 析 的 统 一 展 示 ， 形 式 上 以 图 形 化 方 式 展 示 给 用 户 。 W e b 框 架 控 制 台 界 面 即 O S S I M 的 W e b   U I ， 其 实 就 是 O S S I M 系 统 对 外 的 门 户 站 点 ， 它 主 要 由 仪 表 盘 、 S I E M 控 制 台 、 A l a r m 控 制 台 、 资 产 漏 洞 扫 描 管 理 、 可 靠 性 监 控 、 报 表 及 系 统 策 略 等 部 分 组 成 。 2 . 1   主 要 模 块 的 关 系 从 使 用 的 开 发 工 具 上 ， O S S I M 系 统 主 要 采 用 了 P H P 、 P Y T H O N 、 P e r l 、 E r l a n g 、 R u b y 、 A j a x 和 C 这 几 种 编 程 语 言 ， 从 软 件 层 面 上 看 O S S I M 框 架 系 统 包 括 五 大 模 块 ： A g e n t 模 块 、 S e r v e r 模 块 、 D a t a b a s e 数 据 库 模 块 、 F r a m e w o r k d 模 块 以 及 F r a m e w o r k 模 块 。 （ 1 ） A g e n t 至 S e r v e r ： 来 自 各 个 传 感 器 的 安 全 事 件 被 对 应 A g e n t 格 式 化 后 ， 以 加 密 字 符 串 传 给 S e r v e r 。 （ 2 ） S e r v e r 至 A g e n t ： 发 送 有 关 请 求 命 令 ， 以 字 符 串 方 式 向 A g e n t 传 送 ， 主 要 是 要 求 A g e n t 完 成 插 件 的 启 动 停 止 及 获 取 信 息 等 。 （ 3 ） S e r v e r 至 F r a m e w o r k d ： 发 送 请 求 命 令 ， 要 求 F r a m e w o r k d 针 对 A l a r m 采 取 相 应 操 作 ， 例 如 执 行 外 部 程 序 或 发 出 E m a i l 来 通 知 管 理 员 。 （ 4 ） F r a m e w o r k 至 S e r v e r ： 发 送 请 求 命 令 至 S e r v e r 。 要 求 S e r v e r 通 知 A g e n t 对 插 件 进 行 启 动 、 停 止 等 操 作 。 （ 5 ） F r a m e w o r k 至 F r a m e w o r k d ： 发 送 请 求 命 令 ， 要 求 F r a m e w o r k d 启 动 O p e b V A S 扫 描 进 行 。 （ 6 ） F r a m e w o r k d 至 F r a m e w o r k : 传 送 O p e b V A S 扫 描 结 果 在 前 端 页 面 中 显 示 。
（ 7 ） D a t a b a s e 至 A g e n t 和 S e r v e r ： 向 A g e n t 和 S e r v e r 提 供 数 据 。 （ 8 ） S e r v e r 至 D a t a b a s e ： S e r v e r 需 要 将 E v e n t s 、 A l a r m s 等 数 据 存 入 数 据 库 并 索 引 或 更 新 操 作 。 （ 9 ） D a t a b a s e 至 F r a m e w o r k d ： 在 F r a m e w o r k d 中 的 O p e n v a s 扫 描 和 动 作 需 要 调 用 数 据 库 里 的 数 据 。 （ 1 0 ） F r a m e w o r k d 至 D a t a b a s e ： 在 F r a m e w o r k d 执 行 过 程 中 将 O p e n v a s 扫 描 结 果 存 入 数 据 库 。 （ 1 1 ） D a t a b a s e 至 F r a m e w o r k ： P H P 页 面 显 示 需 要 调 用 数 据 库 的 告 警 事 件 。 （ 1 2 ） F r a m e w o r k 至 D a t a b a s e ： 用 户 参 数 设 置 信 息 需 要 存 入 数 据 库 。 2 . 2   安 全 插 件 O S S I M 系 统 中 插 件 很 多 ， 可 将 它 们 分 为 采 集 插 件 和 监 视 插 件 。 每 个 插 件 又 细 分 为 I D 和 S I D 。 采 集 插 件 主 要 通 过 S N M P 、 S y s l o g 、 W M I 等 协 议 进 行 采 集 ， 在 S e n s o r 中 常 见 采 集 插 件 有 o s s e c - s i n g l e - l i n e 、 s s h 、 s y s l o g 、 w m i - s y s t e m - l o g g e r 等 ， 其 中 S N M P 与 W M I 协 议 需 要 A g e n t 采 集 数 据 时 主 动 进 行 所 采 集 数 据 的 抓 取 ， S y s l o g 协 议 则 被 动 接 受 采 集 数 据 。 监 控 插 件 包 括 m a l w a r e d o m a i n l i s t 、 n u s s u s 、 n m a p 、 n t o p 、 o c s 、 o s s i m 等 2 . 3   采 集 与 监 控 插 件 的 区 别 O S S I M 系 统 的 S e n s o r 端 包 含 了 采 集 和 监 控 ， 这 两 类 插 件 统 称 为 安 全 插 件 ， 它 们 都 安 装 在 S e n s o r 上 。 虽 然 它 们 都 称 为 插 件 可 工 作 原 理 却 不 同 ， 检 测 插 件 是 检 测 器 信 息 产 生 后 ， 由 代 理 自 动 向 服 务 器 发 送 ， 包 括 S n o r t 、 A p a c h e 等 ， 而 检 测 器 插 件 需 要 主 动 采 集 安 全 设 备 接 口 上 的 信 息 ， 这 类 插 件 可 分 为 S n o r t 、 P 0 f 、 P r a d s 、 A r p w a t c h 、 A p a c h e 、 S s h 、 S u d o 等 。 监 控 插 件 ， 必 须 由 服 务 器 主 动 发 起 查 询 请 求 。 监 控 插 件 中 定 义 了 需 要 主 动 采 集 的 安 全 设 备 接 口 ， 该 模 块 接 收 控 制 中 心 发 出 的 命 令 和 查 询 ， 在 O S S I M 系 统 中 典 型 M o n i t o r 插 件 有 N m a p 、 N e s s u s 等 。 读 者 可 在 A l i e n v a u l t 控 制 台 的 S e n s o r 配 置 中 查 看 。 O S S I M 主 要 插 件 分 布 情 况 主 要 插 件 分 布 情 况 分 类 功 能 插 件 名 称 1 访 问 控 制 c s i c o - a c s 、 c i s c o - a c s - i d m 、 c i s c o - a s a 、 f 5 - f i r e p a s s 2 防 病 毒 A v a s t 、 g f i   s e c u r i t y 、 m c a f e e 、 c l a m a v 、 s o p h o s 、 p a n d a 、 n e t k e e p e r 3 防 火 墙 C s i c o - p i x 、 i p f w 、 m 0 n 0 w a l l 、 n e t s c r e e n - i g s 、 m o t o r o l a - f i r e w a l l 、 I p t a b l e s 、 f o r t i g a t e 、 s t o n e g a t e 、 i s a - s e r v e r 、 s o n i c w a l l 、 m 0 n 0 w a l l 、 p f 、 c y b e r g u a r d 、 l u c e n t - b r i c k 、 p a l o a l t o 、 j u n i p e r - s r x 、 s i d e w i n d e r 4 H I D S O s s e c 、 o s s e c - s i n g l e - l i n e 5 I D S D r a g o n 、 j u n i p e r - i d p 、 t i p p i n g p o i n t 、 k i s m e t 、 o s i r i s 6 蜜 罐 系 统 G l a s t o p n g 、 h o n e y d 7 负 载 均 衡 A l l o t 、 c i s c o - a c e 、 c i t r i x - n e t s c a l e r 、 f 5 、 h e a r t b e a t 8 交 换 机 C i s c o 、 c i s c o - n e x u s - n x - o s 、 n e t g e a r 、 n o r t e l 、 e x t r e m e 、 r a s l o g d 、 r a s l o g d 、 a l t e o n o s 9 网 络 监 控 N t o p - m o n i t o r 、 p 0 f 、 p r a d s 、 s e s s i o n - m o n i t o r 、 t c p t r a c k - m o n i t o r 1 0 虚 拟 化 V m w a r e - e s x i 、 v m w a r e - v c e n t e r 、 v m w a r e - v c e n t e r - s q l 1 1 漏 洞 扫 描 N u s s u s 、 n u s s u s - d e t e c t o r 、 n u s s u e - m o n i t o r 1 2 网 络 服 务 A p a c h e 、 f t p 、 d h c p 、 s a m b a 、 s q u i d 、 s s h 1 3 无 线 接 入 A r u b a - 6 、 e x t r e m e - w i r e l e s s 、 c i s c o - w l c 、 p r o x i m - o r i n o c o 对 O S S I M 插 件 位 置 的 说 明 ： 在 安 装 时 系 统 将 支 持 的 插 件 ， 全 部 复 制 到 目 录 / e t c / o s s i m / a g e n t / p l u g i n s / 中 ， 如 N a g i o s 插 件 的 扩 展 名 为 “ . c f g ” 的 文 本 文 件 ， 可 以 用 任 何 编 辑 器 修 改 ， 在 每 个 插 件 配 置 文 件 中 最 难 理 解 的 当 属 正 则 表 达 式 。 2 . 4   代 理 与 插 件 的 区 别 初 学 者 常 混 淆 代 理 和 插 件 的 概 念 ， S e n s o r 指 软 件 和 硬 件 的 传 感 器 被 安 装 在 网 络 中 收 集 和 发 送 数 据 ， 而 代 理 是 运 行 在 传 感 器 上 ， 用 来 收 集 和 发 送 数 据 到 服 务 器 的 一 段 脚 本 ， 一 个 插 件 需 要 了 解 特 定 系 统 的 日 志 格 式 ， 并 通 过 插 件 来 采 集 数 据 。 系 统 中 如 果 启 用 插 件 越 多 ， 那 么 采 集 到 网 络 中 的 各 种 数 据 就 越 全 面 。 在 S e n s o r 中 加 载 过 多 的 插 件 ， 将 会 占 用 O S S I M   S e r v e r 的 数 据 库 空 间 ， 下 面 的 这 条 经 验 值 需 要 读 者 了 解 ， 系 统 中 每 条 事 件 ， 约 占 用 1 K B 存 储 空 间 ， 而 1 m i l l i o s 的 时 间 量 ， 大 约 占 1 . 5 G B 空 间 。
2 . 5   传 感 器 传 感 器 俗 称 探 针 ， 用 来 收 集 监 控 网 段 内 各 类 资 产 的 信 息 ， 它 工 作 在 网 卡 的 嗅 探 模 式 。 O S S I M 系 统 中 ， 把 A g e n t 和 插 件 构 成 的 一 个 具 有 网 络 行 为 监 控 功 能 的 组 合 成 为 一 个 传 感 器 ， S e n s o r 的 功 能 范 围 主 要 有 ： 入 侵 检 测 ： （ 最 新 版 已 换 成 支 持 多 线 程 的 S u r i c a t e ） 。 漏 洞 扫 描 ： （ O p e n V A S 、 N m a p ） 。 异 常 检 测 ： （ P 0 f 、 P r a d s 、 A R P W a t c h 等 ） A R P W a t c h 主 要 监 视 网 络 中 新 出 现 的 M A C 地 址 ， 它 包 含 1 个 监 视 库 ， 名 为 a r p . d a t ， 在 O S S I M 中 位 于 / v a r / l i b / a r p w a t c h / a r p / d a t ， 所 以 它 同 样 是 A I D E 监 控 的 对 象 。 2 . 6   关 联 引 擎 关 联 引 擎 是 O S S I M 安 全 集 成 管 理 系 统 的 核 心 部 分 ， 它 支 持 分 布 式 运 行 ， 负 责 将 A g e n t 传 送 来 的 归 一 化 安 全 事 件 进 行 关 联 分 析 ， 并 对 网 络 资 产 进 行 风 险 评 估 ， 其 工 作 流 程 如 图 （ 图 片 来 源 于 网 络 ） ： O S S I M 服 务 器 的 核 心 组 件 功 能 包 含 ： 事 件 关 联 、 风 险 评 估 和 确 认 优 先 次 序 和 身 份 管 理 、 报 警 和 调 度 、 策 略 管 理 、 I P 信 誉 管 理 等 ， 其 配 置 文 件 在 / e t c / o s s i m / s e r v e r 目 录 中 ， 文 件 分 别 为 ： A l i e n v a y l t - a t t a c k s . x m l A l i e n v a y l t - b r u t e f o r c e . x m l A l i e n v a y l t - d o s . x m l A l i e n v a y l t - m a l w a r e . x m l A l i e n v a y l t - n e t w o r k . x m l A l i e n v a y l t - s c a n . x m l A l i e n v a y l t - p o l i c y . x m l 以 上 这 些 文 件 由 开 源 O S S I M 免 费 提 供 ， 策 略 为 8 4 条 ， 在 U S M 中 则 具 有 2 0 0 0 多 条 。 它 们 采 用 X M L 编 写 易 于 理 解 ， 维 护 简 单 。 如 图 ： 关 联 引 擎 的 结 构 （ 图 片 来 源 于 网 络 ） （ 1 ） 4 0 0 0 1 / t c p ： S e r v e r 首 先 监 听 4 0 0 0 1 / t c p 端 口 ， 接 收 A g e n t 连 接 和 F r a m e w o r k 请 求 。 该 端 口 大 小 由 O S S I M 系 统 在 配 置 文 件 / e t c / o s s i m / o s s i m _ s e t u p . c o n f 中 定 义 。 我 们 在 O S S I M 系 统 中 通 过 命 令 可 以 清 晰 的 看 到 其 工 作 端 口 。 1 s o f   - P n 1   + M   - i 4   |   g r e p   o s s i m - s e r （ 2 ） C o n n e c t : 当 连 接 到 端 口 为 4 0 0 0 2 指 定 的 A g e n t 时 ， 连 接 到 端 口 为 4 0 0 0 1 的 其 他 S e r v e r 对 采 集 事 件 进 行 分 配 和 传 递 。 该 端 口 在 e t c / o s s i m / a g e n t / c o n f i g . c f g 文 件 的 [ o u t p u t - i d m ] 项 配 置 ， 不 建 议 更 改 。 （ 3 ） L i s t e n e r : 接 收 各 个 A g e n t 的 连 接 数 据 ， 并 细 分 为 F o r w a r d i n g   S e r v e r 连 接 、 F r a m e w o r k 连 接 。 （ 4 ） D B   C o n n e c t : 主 要 是 O S S I M   D B 连 接 、 S n o r t   D B 连 接 和 O S S E C   D B 连 接 。 （ 5 ） A g e n t   C o n n e c t ： 启 动 A g e n t 连 接 ， F o r w a r d i n g   S e r v e r 连 接 。 （ 6 ） E n g i n e ： 事 件 的 授 权 、 关 联 、 分 类 。 关 联 引 擎 启 动 O S S I M 系 统 会 启 动 关 联 引 擎 ， 有 时 系 统 调 试 也 需 要 用 到 手 工 启 动 方 式 ， 命 令 如 下 ：
o s s i m - s e r v e r   - d   - c   / e t c / o s s i m / s e r v e r / c o n f i g . x m l 查 看 O S S I M   S e r v e r 版 本 o s s i m - s e r v e r   - v 2 . 7   数 据 库 （ D a t a b a s e ） O S S I M 关 联 引 擎 （ 简 称 O S S I M   S e r v e r ） 将 事 件 关 联 结 果 写 入 数 据 库 。 系 统 用 户 可 通 过 F r a m e w o r k （ W e b 前 端 控 制 台 ） 对 D a t a b a s e 进 行 访 问 。 数 据 库 中 a l i e n v a u l t . e v e n t 表 是 整 个 系 统 事 件 分 析 和 策 略 调 整 的 信 息 源 。 O S S I M 从 总 体 上 将 其 划 分 为 事 件 数 据 库 ( E D B ) 、 知 识 数 据 库 ( K D B ) 、 用 户 数 据 库 ( U D B ) 。 O S S I M 数 据 库 用 来 记 录 与 安 全 事 件 关 联 及 配 置 等 相 关 的 信 息 ， 对 应 于 设 计 阶 段 的 K D B 和 E D B 的 关 联 事 件 部 分 。 在 F r a m e w o r k 中 使 用 A C I D / B A S E 来 作 为 S n o r t 数 据 库 的 前 端 控 制 台 ， 对 应 于 设 计 阶 段 的 E D B 。 此 外 A C L 数 据 库 相 关 表 格 可 包 含 在 O S S I M 数 据 库 中 ， 用 来 记 录 用 户 行 为 ， 对 应 于 设 计 阶 段 的 U D B 库 。 O S S I M 数 据 库 可 分 为 关 系 型 数 据 库 和 非 关 系 型 数 据 库 。 O S S I M 系 统 默 认 使 用 M y S q l 监 听 端 口 是 3 3 0 6 ， 为 增 强 其 处 理 性 能 ， 在 A l i e n v a u l t   U S M 中 采 用 M o n g o   D B 作 为 非 关 系 型 数 据 库 。 在 2 0 1 3 年 将 O S S I M   4 . 2 发 行 版 中 庸 P e r c o n a _ s e r v e r 5 . 5 替 换 了 原 来 的 M y S q l 5 . 1 ， 由 于 使 用 了 X t r a D B 存 储 引 擎 ， 而 且 对 M y S q l 进 行 了 优 化 和 改 进 ， 使 其 在 功 能 和 性 能 上 明 显 提 升 。 在 2 0 1 5 年 最 新 版 本 U S M 5 . 0 中 将 P e r c o n a _ s e r v e r 升 级 为 功 能 强 大 的 5 . 6 . 2 3 。 O S S I M 主 要 版 本 数 据 库 变 迁 如 下 ： 版 本 数 据 库 O S S I M   2 . 3 M y S Q L - s e r v e r   5 . 1 O S S I M   3 . 1 M y S Q L - s e r v e r   5 . 1 O S S I M   4 . 1 P e r c o n a - s e r v e - 5 . 5 . 2 3 O S S I M   4 . 2 P e r c o n a - s e r v e - 5 . 5 . 2 5 O S S I M   4 . 3 P e r c o n a - s e r v e - 5 . 5 . 2 9 O S S I M   4 . 4 P e r c o n a - s e r v e - 5 . 5 . 3 3 O S S I M   4 . 5 P e r c o n a - s e r v e - 5 . 5 . 3 3 O S S I M   4 . 6 ~ 4 . 9 P e r c o n a - s e r v e - 5 . 5 . 3 3 - 3 1 O S S I M   4 . 1 0 ~ 4 . 1 5 P e r c o n a - s e r v e - 5 . 5 . 3 3 - 3 1 . 1 O S S I M   U S M   5 . 0 P e r c o n a - s e r v e - 5 . 5 . 3 3 - 7 2 . 1 O S S I M   U S M   5 . 1 P e r c o n a - s e r v e - 5 . 5 . 3 3 - 7 2 . 1 2 . 8   W e b 框 架 （ F r a m e w o r k ） 在 前 面 介 绍 过 O S S I M 系 统 涉 及 L A M P 环 境 ， 由 P e r l / P y t h o n / P H P 开 发 工 具 融 合 在 一 起 （ 在 / u s r / s h a r e / o s s i m / s c r i p t s / 等 路 径 下 有 着 大 量 * . p y 、 * . s h 和 * . p h p 、 * . p l 等 脚 本 文 件 ） ， 它 们 发 挥 各 自 的 优 势 ， 其 中 W e b 框 架 （ F r a m e w o r k ） 控 制 台 ， 提 供 用 户 W e b 页 面 从 而 控 制 系 统 的 运 行 （ 例 如 设 置 策 略 ） ， 是 整 个 系 统 的 前 端 ， 用 来 实 现 用 户 和 系 统 之 间 的 交 互 F r a m e w o r k 可 以 细 分 为 2 个 部 分 ： F r o n t e n d （ 可 视 化 管 理 前 端 ） 主 要 采 用 P H P 语 言 编 写 ， 它 是 系 统 的 一 组 W e b 页 面 ； F r a m e w o r k 是 一 个 守 护 进 程 ， 采 用 P y t h o n 编 写 ， 主 要 脚 本 在 / u s r / s h a r e / o s s i m - f r a m e w o r k / o s s i m f r a m e w o r k / 目 录 下 ， 它 绑 定 O S S I M 的 知 识 库 和 事 件 库 ， 监 听 端 口 4 0 0 0 3 （ 在 / e t c / o s s i m / o s s i m _ s e t u p . c o n f 配 置 文 件 以 及 / e t c / o s s i m / s e r v e r / c o n f i g . x m l 中 ） 可 以 查 看 到 相 关 端 口 定 义 的 信 息 ， 同 样 通 过 命 令 查 看 ： L s o f     - P n l   + M   - i 4 | g r e p   o s s i m - f r a   通 过 以 上 命 令 可 以 清 楚 查 看 到 服 务 器 端 口 信 息 ， 了 解 这 些 信 息 对 于 我 们 理 解 他 的 工 作 原 理 有 好 处 ， 它 负 责 将 F r o n t e n d 收 到 的 用 户 质 量 和 系 统 的 其 他 组 件 相 关 联 ， 并 绘 制 W e b 图 表 供 前 端 显 示 。 在 O S S I M 系 统 中 ， F r a m e w o r k 安 装 了 A p a c h e + P H P + A d o d b 来 搭 建 支 持 P H P 的 W e b   S e r v e r , 安 装 p h p g a c l 处 理 用 户 权 限 ， 安 装 M r t g 、 R R d t o o l 绘 制 监 控 图 ， 安 装 A C I D / B A S E 作 为 事 件 的 前 端 控 制 台 。   当 O S S I M   S e r v e r 停 止 运 行 后 ， 它 将 不 再 监 听 4 0 0 0 1 端 口 ， 此 时 传 感 器 发 送 回 来 的 数 据 也 就 无 法 收 集 到 ， 首 先 查 看 端 口 情 况 ：
n e t s t a t   - l n t   |   g r e p   4 0 0 0   如 图 是 正 常 时 4 0 0 0 1 、 4 0 0 0 2 、 4 0 0 0 3 、 4 0 0 0 4 端 口 处 于 监 听 状 态 ， 一 旦 出 现 状 况 后 只 有 4 0 0 0 3 端 口 在 监 听 。 3 、 缓 存 与 消 息 列 队 3 . 1   R a b b i t M Q R a b b i t M Q 是 实 现 A M Q P （ 高 级 消 息 列 队 协 议 ） 消 息 中 间 件 的 一 种 ， 它 是 消 息 中 间 件 的 开 发 标 准 ， 与 平 台 无 关 ， 现 用 于 O S S I M 分 布 式 系 统 中 存 储 转 发 消 息 ， 其 工 作 原 理 如 图 ：   为 什 么 要 使 用 R a b b i t M Q ？ 在 高 并 发 情 况 下 ， R a b b i t M Q 在 处 理 发 送 和 接 收 请 求 时 响 应 非 常 快 速 ， 而 且 对 其 性 能 调 优 后 ， 系 统 响 应 速 度 还 会 有 所 提 高 。 R a b b i t M Q 使 用 E r l a n g 编 写 的 A M Q P 服 务 器 ， 而 A M Q P 基 于 客 户 端 / 代 理 模 式 。 在 大 数 据 日 志 分 析 应 用 中 ， 我 们 常 将 O S S I M 做 成 集 群 模 式 ， 因 为 这 样 可 以 使 用 R a b b i t M Q 节 点 ， 根 据 日 志 种 类 建 立 响 应 的 队 列 ， 并 且 根 据 日 志 种 类 的 名 称 建 立 e x c h a n g e 的 k e y 值 。 R a b b i t M Q 通 信 端 口 为 5 6 7 2 . O S S I M 中 我 们 通 过 以 下 命 令 查 看 端 口 。 n e t s t a t   - n a   |   g r e p   5 6 7 2   R a b b i t M Q 环 境 变 量 的 配 置 文 件 位 于 / e t c / r a b b i t m q / r a b b i t m q - e n v . c o n f ， 使 用 时 需 要 查 询 R a b b i t M Q 状 态 命 令 ， 方 法 如 下 ： r a b b i t m q - s e r v e r   a l i e n v a u l t   这 里 的 a l i e n v a u l t 代 表 O S S I M   S e r v e r 的 主 机 名 称 此 时 ， 能 显 示 R a b b i t M Q 的 端 口 、 节 点 名 称 和 主 目 录 （ / v a r / l i b / r a b b i t m q ） 。 * * * 提 示 ： 永 远 不 要 用 k i l l 命 令 直 接 停 止 R a b b i t M Q 服 务 器 ， 而 应 该 采 用 r a b b i t m q c t l 命 令 ， 这 样 可 以 将 数 据 同 步 保 存 到 磁 盘 ， 然 后 关 闭 服 务 ： R a b b i t m q c t l   s t o p 3 . 2   选 择 K e y / V a l u e 存 储 早 期 O S S I M 版 本 中 依 然 采 用 M y S Q L + M e m c a c h e d 的 架 构 存 储 数 据 ， 由 于 存 在 性 能 和 一 致 性 的 问 题 ， 在 O S S I M 4 . 4 后 续 版 本 中 引 入 r e d i s 服 务 器 ， 有 读 者 会 问 为 什 么 选 用 K e y / V a l u e 存 储 ？ 从 S I E M 收 集 信 息 的 角 度 出 发 ， 无 论 日 志 还 是 安 全 事 件 都 属 于 非 结 构 化 数 据 ， 在 日 志 关 联 分 析 时 ， 非 结 构 化 的 数 据 量 会 大 大 超 过 结 构 化 数 据 ， 这 些 数 据 之 间 存 在 关 联 ， 如 果 将 这 些 数 据 直 接 存 入 数 据 库 ， 那 么 对 数 据 库 访 问 频 率 将 增 加 ， 由 于 单 个 表 行 数 的 猛 增 ， 对 表 的 访 问 行 数 成 比 例 增 加 ， 在 多 个 表 之 间 的 数 据 调 用 将 会 产 生 大 量 的 计 算 ， 足 以 将 任 何 一 个 数 据 分 析 系 统 压 垮 。 在 分 析 O S S I M 系 统 各 集 成 开 源 工 具 中 发 现 系 统 没 有 进 行 持 久 化 ， 如 果 R a b b i t M Q 服 务 器 重 启 会 导 致 消 息 丢 失 ， 所 以 采 用 r e d i s   S e r v e r   来 解 决 这 些 问 题 ， R e d i s 是 一 个 K e y / V a l u e 是 的 N o S Q L 数 据 库 ， r e d i s 作 为 缓 存 服 务 器 ， 数 据 存 储 在 内 存 ， 所 以 速 度 比 m y s q l 要 快 的 多 ， 尤 其 在 O S S I M 的 W E B   U I 中 很 多 的 排 行 榜 应 用 ， 取 出 T O P   1 0 的 操 作 ： 包 括 各 种 仪 表 盘 、 计 算 器 应 用 、 S I E M 控 制 台 的 U n i q 操 作 、 获 取 某 段 时 间 所 有 数 据 的 列 表 、 取 最 新 的 T O P   N 操 作 ， 以 及 在 分 布 式 日 志 收 集 系 统 中 消 息 列 队 的 处 理 ， 包 括 爆 表 输 出 中 产 生 T O P   1 0   A t t a c k e r   H o s t 、 T o p   1 0   U s e r   P o r t s 、 T o p   1 5   A l a r m s ， 这 些 都 要 用 到 r e d i s 服 务 。
3 . 3   O S S I M 下 操 作 R e d i s 下 面 列 举 了 常 见 的 有 关 R e d i s 的 操 作 实 例 。 （ 1 ） 查 询 R e d i s 端 口 是 否 被 占 用 使 用 如 下 命 令 。 N e t s t a t   - n t l p   |   g r e p   6 3 7 9 （ 2 ） 查 询 R e d i s 服 务 是 否 运 行 p s   x a l   |   g r e p   r e d i s （ 3 ） 测 试 启 动 。 返 回 P O N G 表 示 启 动 成 功 R e d i s - c l i   p i n g   注 意 启 动 R e d i s 客 户 端 的 命 令 为 R e d i s - c l i . （ 4 ） 查 看 服 务 器 的 统 计 信 息 （ 以 O S S I M   U S M 为 例 ） 。 R e d i s - c l i   i n f o 在 这 些 统 计 信 息 中 ， 以 下 内 容 需 要 了 解 。 （ 截 图 来 源 于 网 络 ） （ 5 ） 查 看 实 时 转 储 收 到 的 请 求 。
R e d i s - c l i   m o n i t o r 4 、 部 署 步 骤 如 下 ： 、 部 署 步 骤 如 下 ： 由 镜 像 文 件 启 动 系 统 （ A l i e n V a u l t _ O S S I M _ 6 4 b i t s ）   经 过 多 次 测 试 ， 给 4 G 内 存 大 多 无 法 启 动 服 务 或 者 启 动 起 来 卡 死 。 建 议 8 G 内 存 运 行 环 境 。   此 处 我 选 择 桥 接 模 式 ， 因 为 稍 后 测 试 中 扫 描 资 产 会 扫 描 和 O S S I M 同 网 段 的 公 司 电 脑 。  
  大 概 流 程 如 下 ： 在 " I n s t a l l   O S S I M " 界 面 ， 点 击 " I n s t a l l   A l i e n t V a u l t   O S S I M   5 . 0   ( 6 4   B i t ) " （ 此 为 混 合 安 装 模 式 ， 下 面 那 个 是 s e n s o r ， 也 就 是 一 般 所 谓 的 收 集 信 息 的 代 理 端 ） ； 之 后 " 选 择 你 的 区 域 " 界 面 ， ， " 配 置 键 盘 " ， " 配 置 网 络 " 界 面 ，   " 设 置 用 户 和 密 码 " 。     之 后 按 操 作 提 示 来 （ 首 先 要 确 认 你 部 署 O S S I M 所 在 网 关 ）  
      然 后 等 待 安 装 。 。 。     登 录 后 即 可 访 问 1 9 2 . 1 6 8 . 3 . 1 8 8 第 一 次 访 问 ， 需 要 在 " A d m i n i s t r a t o r   A c c o u n t   C r e a t i o n " 界 面 输 入 F U L L   N A M E 、 P A S S W O R D 、 E M A I L 等 项 ， 点 击 " S T A R T   U S I N G   A L I E N V A U L T " ； 然 后 会 跳 转 到 登 录 界 面 ， 输 入 U S E R N A M E 和 P A S S W O R D ， 点 击 " L O G I N " ；   在 " W e l c o m e   t o   t h e   A l i e n V a u l t   O S S I M   G e t t i n g   S t a r t e d   W i z a r d " 界 面 ， 点 击 " S T A R T " ， 进 行 配 置 ；   在 " C o n f i g u r e   N e t w o r k   I n t e r f a c e s " 界 面 ， 列
出 作 为 服 务 端 的 主 机 的 网 口 信 息 ， 没 什 么 要 修 改 的 ， 直 接 点 击 " N E X T " ； 在 " S c a n   &   A d d   A s s e t s " 界 面 ， 系 统 会 自 动 探 测 出 局 域 网 内 的 主 机 （ 也 可 以 手 动 探 测 ） ， 筛 选 出 要 进 行 监 控 的 资 产 ， 点 击 " N E X T " ；   在 " D e p l o y   H I D S   t o   S e r v e r s " 界 面 ， 选 择 需 要 部 署 H I D S   a g e n t 的 主 机 ， 输 入 该 主 机 的 U s e r n a m e 和 P a s s w o r d ， 先 后 点 击 " D E P L O Y " 和 " C O N T I N U E " 即 可 ， 部 署 完 成 之 后 ， 点 击 " N E X T " ； 在 " L O G   M A N A G E M E N T " 界 面 ， 确 认 相 应 的 网 络 资 产 的 V e n d o r 、 M o d e l 和 V e r s i o n ， 点 击 " E N A B L E " 即 可 安 装 数 据 源 插 件 ， 也 可 以 点 击 " S K I P   T H I S   S T E P " 来 略 过 该 步 ；   在 " J O I N   O T X " 界 面 ， 需 要 注 册 并 输 入 T O K E N ， 也 可 以 点 击 " S K I P   T H I S   S T E P " 来 略 过 该 步 ， 最 后 点 击 " F I N I S H " 来 结 束 配 置 ；         4 . 1 设 置 初 始 页 面 配 置 网 卡
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理