IDS/Ossec
Installation locale
OSSEC est un HIDS de niveau système, qui s'installe sur quasiment n'importe quelle distribution Linux du moment qu'un administrateur dispose d'un compilateur C sur la machine adéquate. Cet HIDS peut s'installer seul (il ne vérifie que ce qui se passe sur la machine) ou en tant que serveur/agent (c'est-à-dire qu'on l'installe sur une machine centrale ou serveur, qui contrôle tout un réseau de machines sur lesquelles on installe des agents ossec). Je décrirai ici l'installation dite "locale", à savoir qu'on ne surveille que son propre serveur.
Installation d'OSSEC
cd /home wget http://www.ossec.net/files/ossec-hids-2.6.tar.gz tar -xzf ossec-hids-2.6.tar.gz cd ossec-hids-2.6 ./install.sh
Vérifiez qu'il s'agit bien de la dernière version. Et sinon c'est tout ce qu'il y a à faire, à la réserve près de répondre aux questions de l'installateur. Cela suffira pour un serveur web isolé. Il est possible d'avoir aussi un serveur surveillant plusieurs autres (appelés agents)
Choisir le type d'installation et la langue
1- Choisir le type d'installation (local) ... ** Za instalaciju na srpskom, izaberi [sr]. ** Türkçe kurulum için seçin [tr]. (en/br/cn/de/el/es/fr/it/jp/pl/ru/sr/tr) [en]: fr 1- Quel type d'installation voulez-vous (serveur, agent, local ou aide) ? local - Installation en local choisie.
Définition de l'environnement d'installation
2- Définition de l'environnement d'installation. - Choisissez votre répertoire d'installation de OSSEC HIDS [/var/ossec]: (garder la valeur par défaut comme indiqué) - L'installation sera faite sur /var/ossec .
Configuration de OSSEC HIDS
3- Configuration de OSSEC HIDS. 3.1- Voulez-vous une alerte par email ? (o/n) [o]: n --- Alerte par email désactivée. 3.2- Voulez-vous démarrer le démon de vérification d'intégrité ? (o/n) [o]: o - Lancement de syscheck (démon de vérification d'intégrité). 3.3- Voulez-vous démarrer le moteur de détection de rootkit ? (o/n) [o]: o - Lancement de rootcheck (détection de rootkit). 3.4- La réponse active vous permet d'éxécuter des commandes spécifiques en fonction d'évènement. Par exemple, vous pouvez bloquer une adresse IP ou interdire l'accès à un utilisateur spécifique. Plus d'information sur : http://www.ossec.net/en/manual.html#active-response - voulez-vous démarrer la réponse active ? (o/n) [o]: o - Réponse active activée. - Par défaut, nous pouvons activer le contrôle d'hôte et le pare-feu (firewall-drop). Le premier ajoute un hôte dans /etc/hosts.deny et le second bloquera l'hôte dans iptables (sous linux) ou dans ipfilter (sous Solaris, FreeBSD ou NetSBD). - Ils peuvent aussi être utilisés pour arrêter les scans en force brute de SSHD, les scans de ports ou d'autres formes d'attaques. Vous pouvez aussi les bloquer par rapport à des évènements snort, par exemple. - Voulez-vous activer la réponse pare-feu (firewall-drop) ? (o/n) [o]: o - pare-feu (firewall-drop) activé (local) pour les levels >= 6 - liste blanche (white list) par défaut pour la réponse active : - 212.27.54.252 - 212.27.53.252 - Voulez-vous d'autres adresses IP dans votre liste (white list) ? (o/n)? [n]: o - IPs (séparées par des espaces) : votre-ip
Puis lancez ossec via la commande indiquée en résultat /var/ossec/bin/ossec-control start, le programme sera également lancé à chaque redémarrage du serveur.