Security前書きOSSECは、ログ分析、整合性チェック、Windowsレジストリの監視、ルートキットの検出、時間ベースのアラート、アクティブな応答を実行する、オープンソースのホストベースの侵入検知システム(HIDS)です。サーバー内で何が起こっているかを監視したい場合、サーバーにインストールするアプリケーションです。OSSECは、インストール先のサーバー(OSSECの用語では_local_インストール)のみを監視するようにインストールすることも、1つ以上の_agents_を監視する_server_としてインストールすることもできます。OSSECインストールを監視する方法を学びます。前提条件このチュートリアルを実行するには、次のものが必要です。ステップ1-必要なパッケージのインストールこの手順では、OSSECに必要なパッケージをインストールします。パッケージデータベースを更新します。update次に、利用可能なアップデートをインストールします。+`をインストールします。ntp最後に、NTPサービスを有効にします。これにより、サーバーは自動的に正確な時間を維持できます。8サーバーの新規インストールには、アクティブなファイアウォールアプリケーションがありません。この手順では、IPTablesファイアウォールアプリケーションを有効にし、再起動後も実行時ルールが維持されるようにする方法を学習します。iptables-persistent認証後、IPv4およびIPv6ファイアウォールルールを個別のファイルに保存するように求められます。デフォルトでは、これらのファイルにはルールがないため、サーバーを保護し、開いているSSH接続を維持するためにそれらを作成する必要があります。+`ルールファイルのみを変更します。+`ルールファイルを開きます。/etc/iptables/rules.v4そのファイルの完全な内容は次のようになります。*行の間でコピーして貼り付けてください。[公式Debianドキュメント]から取られました。インラインコメントで各ルールの機能を確認できます。DROPファイルを保存して閉じます。netfilter-persistentこれで、このコマンドを使用してルールが設定されていることを確認できます。-L出力は次のようになります。anywhereステップ3-OSSECのダウンロードと検証OSSECは、圧縮されたtarballとして提供されます。この手順では、ファイルとそのチェックサムファイルをダウンロードします。このファイルは、tarballが改ざんされていないことを確認するために使用されます。[プロジェクトのウェブサイト]で最新バージョンを確認できます。2.8.1が最新の安定版リリースです。tarballをダウンロードするには、次を入力します。http://www.ossec.net/files/ossec-hids-2.8.1-checksum.txt両方のファイルをダウンロードしたら、圧縮されたtarballのmd5sumを確認します。ossec-hids-2.8.1-checksum.txt出力は次のようになります。formatted続いて、SHA1チェックサムを確認します。ossec-hids-2.8.1-checksum.txt出力は次のようになります。*行は、ファイルが正常であることを確認するものです。ステップ4-OSSECのインストールこのステップでは、OSSECをインストールします。開始するには、まず解凍します。+`と呼ばれるディレクトリに展開されます。そのディレクトリに移動します。+`ファイルを開きます。」で始まる2行を探します。+`記号の両側のスペースを削除します。fiファイルを保存して閉じます。これでバグ修正は終了です。次に、インストールを開始します。./install.shインストールプロセス全体を通して、入力を求められます。最初にインストール言語を選択するように求められます。デフォルトでは、インストール言語は英語(en)です。それ以外の場合は、最初にサポートされている言語のリストから2文字を入力します。*を押してインストールを開始します。質問1では、どのようなインストールが必要ですか(サーバー、エージェント、ローカル、ハイブリッド、またはヘルプ)。*を押してデフォルトを受け入れますが、質問3.1で電子メールアドレスの入力が求められることに注意してください。これを入力すると、インストーラーはそれを使用して、対応するSMTPサーバーを自動的に検索します。インストールが成功した場合、インストール後の出力の最後の数行は次のようになります。.ステップ4-OSSECのメール設定のカスタマイズここでは、前の手順で指定した電子メール資格情報と、OSSECが自動構成したものが正しいことを確認します。+」ディレクトリにあります。OSSECファイルにアクセスして変更するには、最初にrootユーザーに切り替える必要があります。surootになったので、OSSECの構成ファイルがあるディレクトリに移動します。/var/ossec/etc次に、構成ファイルのバックアップコピーを作成します。+`テキストエディターまたは任意のテキストエディターを使用して元のファイルを開きます。ossec.confメール設定はファイルの上部にあり、次のようになっています。インストール時に指定したメールです。*はインストールスクリプトによって自動検出されたSMTPサーバーです。これらの値を変更する必要はありません。OSSECのアラートの送信元と思われるメールアドレスです。デフォルトでは、OSSECのメールユーザーアカウントとサーバーのホスト名に基づいて作成されます。これを有効なメールアドレスに変更して、メールプロバイダーのSMTPサーバーによってスパムとしてタグ付けされる確率を減らす必要があります。*は同じになる場合があります。メール設定を変更した後、ファイルを保存して閉じます。次に、OSSECを起動します。startOSSECが開始されたことを知らせるメールを受信トレイで確認します。OSSECインストールから電子メールを受け取った場合、今後のアラートも受信トレイに届くことがわかります。ない場合は、スパムフォルダーを確認してください。ステップ6-アラートの追加デフォルトでは、OSSECはファイルの変更やサーバー上のその他のアクティビティについてアラートを発行しますが、新しいファイルの追加についてアラートを発行せず、リアルタイムでアラートも発行しません-スケジュールされたシステムスキャン(79200秒(または22時間)デフォルトで。このセクションでは、OSSECを変更して、ファイルの追加時にリアルタイムで警告できるようにします。*セクションまでスクロールダウンします。`を開いたまま、OSSECが監視するシステムディレクトリのリストを見てください。これは、変更した最後の行のすぐ下にあります。“+`を両方のディレクトリタグに追加します。check_all="yes">/bin,/sbin</directories>OSSECが監視するように設定されているディレクトリのデフォルトリストの他に、監視したいディレクトリを追加することもできます。ホームディレクトリを追加できます。これを行うには、他のディレクトリ行のすぐ下にこの新しい行を追加し、ユーザー名を置き換えます。+`を保存して閉じます。+`ディレクトリにあるため、そのディレクトリに変更します。+`など、多くのXMLファイルが含まれています。ruleset.xml`では、監視対象ディレクトリにファイルが追加されたときに起動するルールはルール554です。デフォルトでは、OSSECはそのルールがトリガーされたときにアラートを送信しないため、ここでのタスクはその動作を変更することです。デフォルトでルール554は次のようになります。system.</description><group>syscheck,</group></rule>ルールがレベル0に設定されている場合、OSSECはアラートを送信しないため、そのルールをlocalrules.xmlにコピーし、アラートをトリガーするように変更します。`localrules.xml`を開きます。group>タグのある行の前に次を追加します。</group>ファイルを保存して閉じ、OSSECを再起動して変更を適用します。restartこれで、ファイルまたは追加、変更、削除されるたびにアラートを受信するはずです。OSSECは、システムのフルスキャン後にのみ、ファイルの追加をリアルタイムで警告しません。Alertsの停止この手順はオプションですが、強くお勧めしますが、IPTables拒否メッセージについて警告しないようにOSSECを構成します。このチュートリアルの最初に、IPTablesファイアウォールを有効にしました。OSSECのインストール後、ルール1002でアラートが発生します。これは、IPTablesが攻撃者を拒否し、発生をsyslogに記録するときにトリガーされます。攻撃者がいつ攻撃されたのかを知るのは良いことですが、そのようなアラートは毎日数百件に上り、受信トレイを詰まらせる可能性があります。これらのアラートを削除するには、ルール1002をカスタマイズする必要があります。ruleset.xml`にあり、次のようになります。ruleset.xml」を開きます。+`変数を見つけます。この変数は、そのファイルの上部で定義され、多くのキーワードが含まれています。+」をコピーして貼り付けます。変数にはキーワードが1つだけ含まれています。これをルール100031と呼びます。完全なルールを以下に示します。グループタグのある行の前に、ファイルの下部にコピーして貼り付けます。</group>ファイルを保存して閉じます。変数とカスタマイズされたルールを設定したら、OSSECを再起動します。restartこれにより、OSSECはIPTables拒否メッセージのアラートの送信を停止する必要があります。8サーバーにローカルOSSECをインストールして設定するのに必要なことはそれだけです。多くのカスタマイズが利用可能です。[公式ドキュメント]で調べることができます。