Cet article est la deuxième partie de notre Installer OSSEC sur Ubuntu 14.04 tutoriel.
Dans la première partie, nous avons installé OSSEC en tant que serveur et son interface utilisateur Web sur un VPS Ubuntu 14.04.
Aujourd'hui, nous allons installer le tableau de bord Web Analogi et couvrir l'installation de l'agent OSSEC sur un autre VPS Ubuntu 14.04. Ensuite, nous ajouterons l'agent installé (client) au serveur OSSEC.
Alors, commençons.
Connectez-vous au VPS Linux sur lequel vous avez installé OSSEC en tant que serveur :
# ssh root@server_ip
Mettez à jour l'index des packages et vérifiez si vous disposez de mises à niveau disponibles pour le serveur :
# apt-get update &&apt-get upgrade
Une fois que cela est hors de l'image, installons le tableau de bord Web Analogi. Entrez la racine du document par défaut pour Apache qui est ‘/var/www/html’ :
# cd /var/www/html/
Clonez le dépôt Analogi GIT :
# git clone https://github.com/ECSC/analogi.git
Copiez le fichier de configuration de la base de données et modifiez les paramètres de la base de données avec les valeurs de la base de données créée dans la première partie de ce tutoriel :
# cp analogi/db_ossec.php.new analogi/db_ossec.php# nano analogi/db_ossec.php
Une fois que vous avez modifié les valeurs, elles devraient ressembler à ceci :
define ('DB_USER_O', 'ossecuser');define ('DB_PASSWORD_O', 'votre_mot de passe');define ('DB_HOST_O', '127.0.0.1');define ('DB_NAME_O', 'ossec');
Enregistrez et fermez le fichier.
Vous pouvez maintenant visiter le tableau de bord Analogi depuis votre navigateur Web préféré. Ouvrez http://votre_adresse_IP/analogi
INSTALLATION D'UN AGENT OSSEC
Ensuite, vous devez installer OSSEC en tant qu'agent sur votre autre instance Ubuntu. Mais d'abord, installez les modules comme indiqué dans la première partie de ce tutoriel. Si vous avez déjà installé la pile LAMP sur votre instance Ubuntu 14.04, continuez et exécutez la commande suivante :
# apt-get install libmysqlclient-dev libapache2-mod-php5 php5-mysql php5-curl php5-gd php5-intl php-pear php5-imagick php5-imap php5-mcrypt php5-memcache php5-ming php5-ps php5 -pspell php5-recode php5-snmp php5-sqlite php5-tidy php5-xmlrpc php5-xsl
Téléchargez OSSEC dans le répertoire '/opt', décompressez l'archive et entrez dans le répertoire décompressé :
# cd /opt# wget https://bintray.com/artifact/download/ossec/ossec-hids/ossec-hids-2.8.3.tar.gz# tar -xzf ossec-hids-2.8.3. tar.gz# cd ossec-hids-2.8.3
Maintenant, démarrez le script d'installation OSSEC et suivez les instructions simples comme indiqué dans la sortie ci-dessous :
# ./install.sh
1- Quel type d'installation souhaitez-vous (serveur, agent, local, hybride ou aide) ? mandataire - Installation de l'agent(client) choisie.2- Paramétrage de l'environnement d'installation. - Choisissez l'emplacement d'installation de l'OSSEC HIDS [/var/ossec] :- L'installation se fera dans /var/ossec .3- Configuration de l'OSSEC HIDS. 3.1- Quelle est l'adresse IP ou le nom d'hôte du serveur OSSEC HIDS ? :entrez l'adresse IP de la machine serveur OSSEC - Ajout de l'IP du serveur xxx.xxx.xx.xxx 3.2- Souhaitez-vous lancer le démon de contrôle d'intégrité ? (o/n) [o] :- Exécution de syscheck (démon de contrôle d'intégrité). 3.3- Voulez-vous lancer le moteur de détection de rootkit ? (o/n) [o] :- Exécution de rootcheck (détection de rootkit). 3.4 - Voulez-vous activer la réponse active ? (o/n) [o] :3.5- Définir la configuration pour analyser les journaux suivants :-- /var/log/messages -- /var/log/auth.log -- /var/log/syslog -- /var /log/mail.info -- /var/log/dpkg.log -- /var/log/apache2/error.log (journal apache) -- /var/log/apache2/access.log (journal apache) - Si vous voulez surveiller n'importe quel autre fichier, changez simplement le ossec.conf et ajoutez une nouvelle entrée localfile. Toutes les questions concernant la configuration peuvent être résolues en nous rendant visite en ligne à l'adresse http://www.ossec.net . - Le système est Debian (Ubuntu ou dérivé). - Script d'initialisation modifié pour démarrer OSSEC HIDS lors du démarrage. - La configuration s'est correctement terminée. - Pour démarrer OSSEC HIDS :/var/ossec/bin/ossec-control start - Pour arrêter OSSEC HIDS :/var/ossec/bin/ossec-control stop - La configuration peut être visualisée ou modifiée dans /var/ossec/etc/ ossec.conf Merci d'avoir utilisé OSSEC HIDS. Si vous avez des questions, des suggestions ou si vous trouvez un bogue, contactez-nous à [email protected] ou en utilisant notre liste de diffusion publique à [email protected] ( http://www.ossec.net/main/support/ ). Plus d'informations peuvent être trouvées sur http://www.ossec.net --- Appuyez sur ENTER pour terminer (peut-être plus d'informations ci-dessous). ---- Vous devez d'abord ajouter cet agent au serveur afin qu'ils puissent communiquer entre eux. Lorsque vous l'avez fait, vous pouvez exécuter l'outil 'manage_agents' pour importer la clé d'authentification depuis le serveur. /var/ossec/bin/manage_agents
Comme le montre la déclaration ci-dessus, vous devez maintenant ajouter l'agent au serveur OSSEC. Revenez à la console de votre serveur OSSEC et générez une clé pour l'agent. Utilisez la commande ci-dessous :
# /var/ossec/bin/manage_agents
Choisissez maintenant l'option A, entrez le nom du nouvel agent, son adresse IP et son ID. Suivez la sortie ci-dessous :
******************************************** Agent OSSEC HIDS v2.8.3 gestionnaire. ** Les options suivantes sont disponibles :********************************************* ( A)ajoutez un agent (A). Clé d'(E)extrait pour un agent (E). (L)ist les agents déjà ajoutés (L). (R)supprimer un agent (R). (Q)uit.Choisissez votre action :A,E,L,R ou Q :A - Ajout d'un nouvel agent (utilisez '\q' pour revenir au menu principal). Veuillez fournir les informations suivantes :* Un nom pour le nouvel agent :ossec-client * L'adresse IP du nouvel agent :ici vous devez saisir l'adresse IP de l'agent OSSEC * Un identifiant pour le nouvel agent[001] :Informations sur l'agent :ID :001 Nom :ossec-client Adresse IP :xxx.xx.xxx.xxxConfirmer l'ajout ?(o/n) :o Agent ajouté.
Exécutez le /var/ossec/bin/manage_agents commande à nouveau et extrayez la clé de l'agent :
# /var/ossec/bin/manage_agents*************************************** *** Gestionnaire d'agents OSSEC HIDS v2.8.3. ** Les options suivantes sont disponibles :********************************************* ( A)ajoutez un agent (A). Clé d'(E)extrait pour un agent (E). (L)ist les agents déjà ajoutés (L). (R)supprimer un agent (R). (Q)uit.Choisissez votre action :A,E,L,R ou Q :E Agents disponibles :ID :001, Nom :ossec-client, IP :saisir l'adresse IP de l'agent OSSEC Fournir l'ID de l'agent pour extraire la clé (ou '\q' pour quitter) :001 Les informations de clé d'agent pour '001' sont :MDAxIG9==...... ** Appuyez sur ENTER pour revenir au menu principal.
Copiez la clé et basculez vers votre console d'agent OSSEC. Exécutez la commande /var/ossec/bin/manage_agents :
# /var/ossec/bin/manage_agents*************************************** *** Gestionnaire d'agents OSSEC HIDS v2.8.3. ** Les options suivantes sont disponibles :********************************************* ( I)mporter la clé depuis le serveur (I). (Q)uit.Choisissez votre action :I ou Q :I * Fournissez la clé générée par le serveur.* La meilleure approche est de la couper et de la coller.*** OBS :n'incluez pas d'espaces ni de nouvelles lignes. Collez-la ici (ou '\q' pour quitter) :coller la clé que vous avez générée sur votre serveur OSSEC Informations sur l'agent :ID :001 Nom :ossec-client Adresse IP :adresse IP de l'agent OSSEC Confirmer l'ajout ? (o/n) :yAjouté.
Vous pouvez vérifier le fichier de configuration OSSEC pour voir si le serveur OSSEC a été ajouté avec succès :
# nano /var/ossec/etc/ossec.conf
L'adresse IP du serveur OSSEC est ajoutée en début de fichier :
xxx.xxx.xx.xxx
Une fois cela fait, redémarrez OSSEC sur les machines serveur et agent :
# /var/ossec/bin/ossec-control restart
Vous pouvez désormais surveiller l'agent à partir de l'interface utilisateur Web standard ou le tableau de bord Analogi . C'est comme tu veux. Bien sûr, OSSEC est un système de détection d'intrusion complexe et vous pouvez modifier sa configuration et ses agents, donc pour plus d'informations, veuillez consulter la documentation approfondie d'OSSEC.
Toutes nos félicitations. Vous avez configuré et intégré avec succès un agent OSSEC avec le serveur OSSEC. Vous devez suivre cette même procédure si vous souhaitez ajouter un autre agent à OSSEC.
Bien sûr, vous n'avez rien à faire si vous utilisez l'un de nos services d'hébergement VPS Linux, auquel cas vous pouvez simplement demander à nos administrateurs Linux experts de le faire pour vous. Ils sont disponibles 24h/24 et 7j/7 et prendront immédiatement en charge votre demande.
PS . Si vous avez aimé cet article, partagez-le avec vos amis sur les réseaux sociaux en utilisant les boutons à gauche ou laissez simplement une réponse ci-dessous. Merci.