commentOSSECの話題に触発されて、OSSECで独自のルールを定義する方法について書いてみます。OSSECとOSのバージョンは以下のとおりです。14.04既存のルールを変更するOSSECを利用していると通常の操作を攻撃として検知してしまうことがあります(偽陽性の発生)。WEBアプリケーションからの連続したPOSTが攻撃とみなされることがありました。OSSECのアラートを見ると、ルールIDが31533のルールにひっかかったことがわかりました。bot).</description></rule>同じ送信元IP(same_source_ip)から20秒以内(timeframe)に12回(frequencyに定義された回数*2)ルールIDが31530のルールにマッチするリクエストがあったことを検知するルールのようです。ルールIDが31530のルールは同じファイルに定義されています。」にマッチするログを検知するようです。アラートを受け取ったルール(31533)は、連続POSTに対するルールだということがわかります。定義されおり、ログの解析対象がアクセスログであることを定義しています。ルールの変更WEBアプリの通常の操作で、同じIPアドレスから20秒以内に12回以上のPOSTを実行する可能性がある場合、31533のルールを変更する必要があります。短時間での連続したPOST自体は検知したいので、検知する時間枠を20秒から15秒に変更することにしました。(31533のルールが定義されているファイルは直接編集しません。</rule></group>「overwrite=”yes”」とすると既存のルールを上書きします。31533のルールの「timeframe」を20から15にすることで時間枠を15秒に変更しました。「group」はアラートを分類するためのグループです。今回は「local」と31533のgroupと同様の「web,appsec,attack」を定義した「group」内にルールを定義しました。ルールを定義したら、OSSECを再起動してください。新規のルールを定義する先ほど変更したルール(31533)は、31530のルールにマッチするすべてのPOSTについて、同じIPアドレスからの連続POSTを検知するものでした。ip.</description></rule>「/users」に一致するURLに対して、同じIPアドレスから60秒以内に6回、31530のルールにマッチするリクエストがあったことを検知します。確認することができます。received.'※一部伏字になっています。実行し、検知したいログを貼り付けるとデコーダーやルールIDを確認することができます。OSSECのルールやルールの構文の詳細については公式ドキュメントを参照してください。コメントをキャンセルメールアドレスが公開されることはありません。*サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。