Centro IDS / IPS con Prelude SIEM…. Parte 5. Instalando y configurando OSSEC soporte con prelude. Añadiendo sensor.

Seguimos con esta serie dedicada a Prelude IDS / IPS.

Ya en anteriores capítulos os he comentado que Prelude soporta, de forma nativa, OSSEC. Pues bien, en esta ocasión vamos a instalar OSSEC en modo servidor, con soporte prelude, lo pondremos en marcha y lo registraremos en nuestro centro de control prelude para visualizar los eventos mediante Prewikka.

Modificado el 20-04-2011 para aclaración fichero ossec.conf (se añade captura de pantalla).

Antes que nada..

Qué es OSSEC.

Brévemente. OSSEC es un sistema de detección de intrusiones basado en host o nodos, es decir, la detección se basa en la búsqueda de anomalías, cambios, intrusiones, rastro de actividades intrusivas, inicios de sesión, etc, que se localizan en una determinada máquina o host. Analiza y controla todo el sistema.

Es lo que se denomina un HIDS ó Host-based Intrusion Detection
System.

Es multiplataforma y por ello funciona, a parte de Linux (Debian, Ubuntu, etc), para Windows (a nivel de sensores), Solaris, Free-Open-NEtBSD, VMWare, Mac OS X, etc.

Entonces que analiza, cuales son sus funciones.

Entre otras, las funciones son:

• detección de rootkits
• comprobación de integridad de los ficheros
• analisis de los diferentes registros y logs del sistema y herramintas
• es capaz, si se configura para ello, de generar respuestas activas
• etc,

Vamos con la instalación…

Instalación de OSSEC en modo servidor y con soporte Ptrelude.

La instalación de OSSEC es muy sencilla. Aquí lo que me interesa es el soporte prelude. Vamos a ello:

wget http://www.ossec.net/files/ossec-hids-latest.tar.gz
tar -zxf ossec-hids-latest.tar.gz
cd ossec-hids-2.5.1./
cd src
make setprelude
cd ..
./install.sh

Durante la instalación se nos hará una serie de preguntas sencillas:

• idioma instalación
• tipo de instalación
• lugan donde se instalará ossec
• notificacion via mail
• activación servidor de integridad
• activación sistema deteccion rootkits
• activación de respestas activas
• activacion syslog remoto y
• estableciendo la configuración para analizar los siguientes registros:
  — /var/log/messages
  — /var/log/auth.log
  — /var/log/syslog
  — /var/log/mail.info
  — /var/log/dpkg.log
  — /var/log/snort/alert (snort-fast file)
  — /var/log/apache2/error.log (apache log)
  — /var/log/apache2/access.log (apache log)

(podemos añadir más de forma manual)

Habilitando soporte prelude.

La configuración la encontramos en /var/ossec/etc/ossec.conf  y antes de ejecutar OSSEC, tendremos que editar ossec.conf para añadir en la sección global lo que está marcado en rojo:

NOTA IMPORTANTE:  Lo que está marcado en azul, que es opcional, es el nombre del profile para luego registrar el servidor ossec como sensor de prelude. Es decir que si en la captura tiene el nombre ossec-server, luego en el registro prelude-admin register… tambiénd ebe tener el mismo nombre.

Una vez terminemos la instalación podemos ejecutar o parar OSSEC de la forma:

/var/ossec/bin/ossec-control start / stop

Bien. Ya temenos OSSEC en modo servidor. Esto nos servirá para recolectar todos los eventos de los sistemas en los que tengamos sensores.

Pero, antes que nada, vamos a registrar OSSEC en nuestro centro Prelude.

Registo de servidor OSSEC en Prelude-manager.

Para ello y como siempre:

root@snortsensor:/var/ossec/etc# sudo prelude-admin register ossec-server «idmef:w» 192.168.1.96 -uid 0 -gid 0
Generating 2048 bits RSA private key… This might take a very long time.
[Increasing system activity will speed-up the process].
Generation in progress… X…………………….+++++O…….+++++O

You now need to start «prelude-admin» registration-server on 192.168.1.96:
example: «prelude-admin registration-server prelude-manager»

Ejecutamos, tal como nos indica, desde el servidor Prelude o mediante SSH la línea: sudo prelude-admin registration-server prelude-manager para extraer el password. Una vez extraído lo indicamos:

Enter the one-shot password provided on 192.168.1.96:
Confirm the one-shot password provided on 192.168.1.96:

Connecting to registration server (192.168.1.96:5553)… Authentication succeeded.
Successful registration to 192.168.1.96:5553.

Ya está registrado.

Ahora ejecutamos:

/var/ossec/bin/ossec-control start

y veremos en el servidor prelude como se inicia el sensor en el sistema.

Lo comprobamos:

Ya tenemos arriba 5 sensores, entre ellos ossec-server.

Ya alguna que otra alerta:

.

Un anticipo para el siguiente artículo. Agentes Windows.

Y es aqui lo más intersante para nuestro sistema  Prelude IDS / IPS. La instalación de sensores OSSEC en Sistemas Windows.

Uno de los agentes Windows que instalaremos:

Lo veremos todo en el siguiente artículo parte 6.

.

Otros artículos de la serie Prelude IDS / IPS.

• Instalando y Configurando Centro IDS / IPS con Prelude SIEM, Snort y Prewikka. Parte I
• Instalando y Configurando Centro IDS / IPS con Prelude SIEM, Snort y Prewikka. Parte 2
• Instalando y Configurando Centro IDS / IPS con Prelude SIEM, Snort y Prewikka. Parte 3
• Instalando y Configurando Centro IDS / IPS con Prelude SIEM, Snort y Prewikka. Parte 4. Sensor Suricata.

==

Hasta aquí por hoy. Hasta la próxima.