Instalando o Ossec HIDS Server

O OSSEC é um escalável, multi-plataforma, e open source HIDS. Ele integra análise de log, checagem de integridade de arquivos, monitoramento do registro do Windows, politica centralizada, detecção de rootkit, alerta em tempo real e resposta automática.

Nesta série de 03 artigos faremos a instalação do Ossec como servidor, da interface Web do Ossec e de um agente.

Agora é a hora da diversão!!!

Instale as dependências necessárias para o Ossec e Ossec-WUI

aptitude -y install apache2 python openssl php5 php-pear php5-xsl curl libcurl3 libcurl3-dev php5-curl build-essential libmysqlclient-dev libssl-dev libsnmp-dev libapache2-mod-php5 php5-gd

Baixe o Ossec

wget -c http://www.ossec.net/files/ossec-hids-2.2.tar.gz

Descompacte o arquivo e acesse o diretório criado

tar -xvf ossec-hids-2.2.tar.gz

cd ossec-hids-2.2

Execute o arquivo install.sh para iniciar a instalação do Ossec

./install.sh

** Para instalação em português, escolha [br].
** 要使用中文进行安装, 请选择 [cn].
** Fur eine deutsche Installation wohlen Sie [de].
** Για εγκατάσταση στα Ελληνικά, επιλέξτε [el].
** For installation in English, choose [en].
** Para instalar en Español , eliga [es].
** Pour une installation en français, choisissez [fr]
** Per l’installazione in Italiano, scegli [it].
** 日本語でインストールします．選択して下さい．[jp].
** Voor installatie in het Nederlands, kies [nl].
** Aby instalować w języku Polskim, wybierz [pl].
** Для инструкций по установке на русском ,введите [ru].
** Za instalaciju na srpskom, izaberi [sr].
** Türkçe kurulum için seçin [tr].
(en/br/cn/de/el/es/fr/it/jp/nl/pl/ru/sr/tr) [en]: br [ Digite o idioma para instalação]

OSSEC HIDS v2.2 Script de instalação – http://www.ossec.net

Você está iniciando o processo de instalação do OSSEC HIDS.
Você precisará de um compilador C pré-instalado em seu sistema.
Qualquer dúvida, sugestões ou comentários, por favor, mande um e-mail para
dcid@ossec.net (ou daniel.cid@gmail.com).

– Sistema: Linux debian 2.6.26-2-686
– Usuário: root
– Host: debian

— Aperte ENTER para continuar ou Ctrl+C para abortar. —

1- Que tipo de instalação você deseja (servidor, cliente, local ou ajuda)? servidor [ Digite a opção ‘servidor’]

– Escolhida instalação servidor.

2- Configurando o ambiente de instalação.

– Escolha onde instalar o OSSEC HIDS [/var/ossec]: [Pressione ENTER]

– A instalação será feita no diretório /var/ossec .

3- Configurando o OSSEC HIDS.

3.1- Deseja receber notificações por e-mail? (s/n) [s]: [Pressione ENTER]

– Qual é o seu endereço de e-mail? alexos-alertas@gmail.com [INFORME SEU EMAIL AQUI]
– Seu servidor SMTP foi encontrado como: gmail-smtp-in.l.google.com.
– Deseja usá-lo? (s/n) [s]: [Pressione ENTER]
— Usando servidor SMTP:  gmail-smtp-in.l.google.com.

3.2- Deseja habilitar o sistema de verificação de integridade? (s/n) [s]: [Pressione ENTER]

– Syscheck (Sistema de verificação de integridade) habilitado.

3.3- Deseja habilitar o sistema de detecção de rootkis? (s/n) [s]: [Pressione ENTER]

– Deseja habilitar o sistema de respostas automáticas? (s/n) [s]: n [ LEIA A NOTA SOBRE ESTE ITEM ]

NOTA: O sistema de respostas automáticas por padrão pode habilitar o ‘host-deny’ e  o ‘firewall-drop’. O primeiro adicionará um host ao /etc/hosts.deny e o segundo bloqueará o host no ‘iptables’ (se linux) ou no ipfilter (se Solaris, FreeBSD ou NetBSD). Eles podem ser usados para parar ‘SSHD brute force scans’, portscans e outras formas de ataque. Você pode também realizar  bloqueios baseados nos alertas do snort, por exemplo.

3.5- Deseja habilitar o syslog remoto (514 udp)? (s/n) [s]: n [ Digite ‘n’ se não possuir um syslog remoto ]

— Syslog desabilitado.

3.6- Ajustando a configuração para analisar os seguintes logs:
— /var/log/messages
— /var/log/auth.log
— /var/log/syslog
— /var/log/mail.info
— /var/log/dpkg.log
— /var/log/apache2/error.log (apache log)
— /var/log/apache2/access.log (apache log)

– Se quiser monitorar qualquer outro arquivo, modifique
o ossec.conf e adicione uma nova entrada para o arquivo.
Qualquer dúvida sobre a configuração, visite http://www.ossec.net/hids/ .

— Pressione ENTER para continuar —

A seguinte mensagem surgirá após as mensagens do processo de instalação :

– O Sistema é Debian (Ubuntu or derivative).
– O script de inicialização foi modificado para executar o OSSEC HIDS durante o boot.

– Configuração finalizada corretamente.

– Para iniciar o OSSEC HIDS:
/var/ossec/bin/ossec-control start

– Para parar o OSSEC HIDS:
/var/ossec/bin/ossec-control stop

– A configuração pode ser vista ou modificada em /var/ossec/etc/ossec.conf

Obrigado por usar o OSSEC HIDS.
Se você tiver alguma pergunta, sugestão ou encontrar algum
“bug”, nos contate através do e-mail contact@ossec.net ou
utilize nossa lista de e-mail:
( http://www.ossec.net/main/support/ ).

Maiores informações podem ser encontradas em http://www.ossec.net

—  Pressione ENTER para continuar  —

– Você precisa adicionar cada um dos clientes antes que estejam autorizados a acessar o servidor.
Execute o ‘manage_agents’ para adicioná-los ou removê-los:

/var/ossec/bin/manage_agents

Maiores informações em:
http://www.ossec.net/en/manual.html#ma

Feito. O Ossec server está instalado, agora iremos iniciá-lo. No pŕoximo artigo faremos a instalação do Ossec-WUI

/var/ossec/bin/ossec-control start

Starting OSSEC HIDS v2.2 (by Trend Micro Inc.)…
Started ossec-maild…
Started ossec-execd…
Started ossec-analysisd…
Started ossec-logcollector…
Started ossec-remoted…
Started ossec-syscheckd…
Started ossec-monitord…

Completed.