開源HIDS-Wauzh測(cè)試使用

Wazuh簡(jiǎn)介

前端時(shí)間調(diào)研了一些HIDS的開源系統(tǒng):

https://github.com/Neo23x0/Fenrir更加方便(不需要安裝代理或者軟件包)使用的IOC掃描工具

https://github.com/ysrc/yulong-hids由?Agent冠蒋,?Daemon秋忙,?Server?和?Web?四個(gè)部分組成的服務(wù)器入侵檢測(cè)系統(tǒng)

https://github.com/InQuest/awesome-yara基于yara(一款識(shí)別和分類惡意軟件樣本的開源工具)所寫的安全核查規(guī)則

https://github.com/grayddq/GScan:基于checklist的Linux主機(jī)安全掃描

https://documentation.wazuh.com/3.10/index.html:數(shù)據(jù)收集基于ELK并集合了威脅檢測(cè)、安全監(jiān)控、事件響應(yīng)等的開源OSSEC系統(tǒng)

從完整度來看肘迎,Wauzh無疑是企業(yè)快速化部署HIDS的有利工具艺智,現(xiàn)成的agent-server-web框架節(jié)省了大量的開發(fā)時(shí)間锡溯,可以把精力專注在規(guī)則的撰寫上习勤。

Wauzh 服務(wù)端docker部署

官網(wǎng):https://documentation.wazuh.com/3.10/docker/docker-installation.html

curl安裝

curl -L "https://github.com/docker/compose/releases/download/1.24.1/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose

chmod +x /usr/local/bin/docker-compose

或者pip安裝

pip install docker-compose

驗(yàn)證是否安裝成功

docker-compose –version

配置服務(wù)器參數(shù)max_map_count

sysctl -w vm.max_map_count=262144

創(chuàng)建安裝路徑

mkdir /data/wazuh && cd /data/wazuh

下載docker配置文件

curl -so docker-compose.yml?https://raw.githubusercontent.com/wazuh/wazuh-docker/3.9.5_7.2.1/docker-compose.yml

可以修改docker-compose.yml,加上密碼


vi docker-compose.yml

拉取容器創(chuàng)建并且啟動(dòng)Wazuh

docker-compose up -d


進(jìn)入容器時(shí)需要注意一下默認(rèn)名字是簡(jiǎn)化的敛腌,不能使用容器的name


訪問web頁面(kibana)


wazuh agent安裝

Linux

需要安裝audit:

yum install audit

https://documentation.wazuh.com/3.10/installation-guide/installing-wazuh-agent/linux/centos6-or-greater/wazuh_agent_package_centos6_or_greater.html#wazuh-agent-package-centos6-or-greater

官網(wǎng)提供了yum安裝(需要加入wazuh的倉庫地址)和源碼安裝(整包下載卧土,選擇agent部署)

在此選擇下載客戶端的RPM包安裝:

https://documentation.wazuh.com/3.10/installation-guide/packages-list/index.html

wget?https://packages.wazuh.com/3.x/yum/wazuh-agent-3.10.2-1.x86_64.rpm

rpm -ivh wazuh-agent-3.10.2-1.x86_64.rpm

手動(dòng)注冊(cè)agent

回到wazuh服務(wù)端,進(jìn)入到wazuh的容器中

docker-compose exec wazuh /bin/bash

/var/ossec/bin/manage_agents

A

JDB(新agent的命名像樊,這之后需要從CMDB上獲取IP的主機(jī)名稱)

1.1.1.1(新agent的IP地址)

y

添加好以后顯示:

Agent added with ID 001.

E(給agent創(chuàng)建key)

001(輸入需要?jiǎng)?chuàng)建key的agent ID)

Agent key information for '001' is:

MDAxIEpEQiAxMDAuNzMuMjAuNDcgNzRjNTM0NTU2MTRjNTU2OWYyYmFmODM2NzI1ZGMyOTk4MDM4Njk3NTA1NTE4YWRkMWI0MzM1ZjE2MzY0NzUwNw==

回到agent端上尤莺,

使用key注冊(cè)agent

/var/ossec/bin/manage_agents -i MDAxIEpEQiAxMDAuNzMuMjAuNDcgNzRjNTM0NTU2MTRjNTU2OWYyYmFmODM2NzI1ZGMyOTk4MDM4Njk3NTA1NTE4YWRkMWI0MzM1ZjE2MzY0NzUwNw==

vi /var/ossec/etc/ossec.conf

添加服務(wù)端的IP

<address>serverIP</address>

啟動(dòng)agent

service wazuh-agent start

顯示

Starting Wazuh:??????????????????????????????????????????? [? OK? ]


進(jìn)入服務(wù)端頁面https://服務(wù)端IP/app/wazuh#/overview/?_g=()&tabView=panels&tab=welcome&_a=(columns:!(_source),index:'wazuh-alerts-3.x-*',interval:auto,query:(language:kuery,query:''),sort:!(timestamp,desc))

可以看到已經(jīng)有agent顯示了


自動(dòng)注冊(cè)agent

其實(shí)就是在agent上操作,在agent端

/var/ossec/bin/agent-auth -m 服務(wù)端IP

此時(shí)agent的name即為主機(jī)名:


vi /var/ossec/etc/ossec.conf

添加服務(wù)端IP

啟動(dòng)

service wazuh-agent start

Windows

agent部署服務(wù)器

下載安裝包https://packages.wazuh.com/3.x/windows/wazuh-agent-3.10.2-1.msi

雙擊運(yùn)行生棍,默認(rèn)文件保存在C:\Program Files (x86)\ossec-agent

注冊(cè)agent

https://documentation.wazuh.com/3.10/user-manual/registering/windows-simple-registration.html

?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系作者
  • 序言:七十年代末颤霎,一起剝皮案震驚了整個(gè)濱河市,隨后出現(xiàn)的幾起案子足绅,更是在濱河造成了極大的恐慌捷绑,老刑警劉巖,帶你破解...
    沈念sama閱讀 211,290評(píng)論 6 491
  • 序言:濱河連續(xù)發(fā)生了三起死亡事件氢妈,死亡現(xiàn)場(chǎng)離奇詭異,居然都是意外死亡段多,警方通過查閱死者的電腦和手機(jī)首量,發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 90,107評(píng)論 2 385
  • 文/潘曉璐 我一進(jìn)店門,熙熙樓的掌柜王于貴愁眉苦臉地迎上來进苍,“玉大人加缘,你說我怎么就攤上這事【醢。” “怎么了拣宏?”我有些...
    開封第一講書人閱讀 156,872評(píng)論 0 347
  • 文/不壞的土叔 我叫張陵,是天一觀的道長(zhǎng)杠人。 經(jīng)常有香客問我勋乾,道長(zhǎng),這世上最難降的妖魔是什么嗡善? 我笑而不...
    開封第一講書人閱讀 56,415評(píng)論 1 283
  • 正文 為了忘掉前任辑莫,我火速辦了婚禮,結(jié)果婚禮上罩引,老公的妹妹穿的比我還像新娘各吨。我一直安慰自己,他們只是感情好袁铐,可當(dāng)我...
    茶點(diǎn)故事閱讀 65,453評(píng)論 6 385
  • 文/花漫 我一把揭開白布揭蜒。 她就那樣靜靜地躺著横浑,像睡著了一般。 火紅的嫁衣襯著肌膚如雪屉更。 梳的紋絲不亂的頭發(fā)上伪嫁,一...
    開封第一講書人閱讀 49,784評(píng)論 1 290
  • 那天,我揣著相機(jī)與錄音偶垮,去河邊找鬼张咳。 笑死,一個(gè)胖子當(dāng)著我的面吹牛似舵,可吹牛的內(nèi)容都是我干的脚猾。 我是一名探鬼主播,決...
    沈念sama閱讀 38,927評(píng)論 3 406
  • 文/蒼蘭香墨 我猛地睜開眼砚哗,長(zhǎng)吁一口氣:“原來是場(chǎng)噩夢(mèng)啊……” “哼龙助!你這毒婦竟也來了?” 一聲冷哼從身側(cè)響起蛛芥,我...
    開封第一講書人閱讀 37,691評(píng)論 0 266
  • 序言:老撾萬榮一對(duì)情侶失蹤提鸟,失蹤者是張志新(化名)和其女友劉穎,沒想到半個(gè)月后仅淑,有當(dāng)?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體称勋,經(jīng)...
    沈念sama閱讀 44,137評(píng)論 1 303
  • 正文 獨(dú)居荒郊野嶺守林人離奇死亡,尸身上長(zhǎng)有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點(diǎn)故事閱讀 36,472評(píng)論 2 326
  • 正文 我和宋清朗相戀三年涯竟,在試婚紗的時(shí)候發(fā)現(xiàn)自己被綠了赡鲜。 大學(xué)時(shí)的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片。...
    茶點(diǎn)故事閱讀 38,622評(píng)論 1 340
  • 序言:一個(gè)原本活蹦亂跳的男人離奇死亡庐船,死狀恐怖银酬,靈堂內(nèi)的尸體忽然破棺而出,到底是詐尸還是另有隱情筐钟,我是刑警寧澤揩瞪,帶...
    沈念sama閱讀 34,289評(píng)論 4 329
  • 正文 年R本政府宣布,位于F島的核電站篓冲,受9級(jí)特大地震影響李破,放射性物質(zhì)發(fā)生泄漏。R本人自食惡果不足惜纹因,卻給世界環(huán)境...
    茶點(diǎn)故事閱讀 39,887評(píng)論 3 312
  • 文/蒙蒙 一喷屋、第九天 我趴在偏房一處隱蔽的房頂上張望。 院中可真熱鬧瞭恰,春花似錦屯曹、人聲如沸。這莊子的主人今日做“春日...
    開封第一講書人閱讀 30,741評(píng)論 0 21
  • 文/蒼蘭香墨 我抬頭看了看天上的太陽密任。三九已至,卻和暖如春偷俭,著一層夾襖步出監(jiān)牢的瞬間浪讳,已是汗流浹背。 一陣腳步聲響...
    開封第一講書人閱讀 31,977評(píng)論 1 265
  • 我被黑心中介騙來泰國打工涌萤, 沒想到剛下飛機(jī)就差點(diǎn)兒被人妖公主榨干…… 1. 我叫王不留淹遵,地道東北人。 一個(gè)月前我還...
    沈念sama閱讀 46,316評(píng)論 2 360
  • 正文 我出身青樓负溪,卻偏偏與公主長(zhǎng)得像透揣,于是被迫代替她去往敵國和親。 傳聞我的和親對(duì)象是個(gè)殘疾皇子川抡,可洞房花燭夜當(dāng)晚...
    茶點(diǎn)故事閱讀 43,490評(píng)論 2 348

推薦閱讀更多精彩內(nèi)容

  • Docker從2013年發(fā)布第一個(gè)版本以來辐真,已經(jīng)火遍全球,技術(shù)迭代也比較頻繁崖堤,其周邊產(chǎn)品和技術(shù)也越來越豐富侍咱。Doc...
    歸海聽雪閱讀 12,267評(píng)論 7 44
  • Pinpoint是用于大規(guī)模分布式系統(tǒng)的APM工具。它是在Dapper(一個(gè)由Google構(gòu)建的分布式系統(tǒng)跟...
    smooth00閱讀 3,264評(píng)論 0 13
  • 小白學(xué)Docker<一> 4.Docker file常用指令 指令的一般格式為 指令名稱 參數(shù) 密幔。 FROM 支...
    i_cyy閱讀 556評(píng)論 0 1
  • 01就在剛剛老玛,大概晚上九點(diǎn)多一點(diǎn)的樣子淤年,我將整整一大碗泡面吞進(jìn)了肚子。是藤椒味的蜡豹,吃得很滿足。說來也許你們不信溉苛,這...
    姜三瘋閱讀 803評(píng)論 3 51
  • 當(dāng)幾年后我們的身體里神經(jīng)元以外的所有細(xì)胞都換了一遍镜廉。那時(shí)你還是你嗎?我們就不是我們了愚战。能夠證明你活過的只有你的思想...
    265西流閱讀 107評(píng)論 0 2