Pour ce tuto : http://mondedie.fr/d/5821 Si vous avez une question, une remarque ou une suggestion, n'hésitez pas à poster un commentaire sur ce topic.

Super tutoriel !! Merci Hardware maintenant avec Ossec je suis au Sec !!

Super Hardware Merci Dis pour la partie OSSEC Web User Interface tu aurais une idée pour ceux qui sont sous lighttpd ? J'ai essayé de voir sur le net mais après install du dossier /var/www/ossec-wui-0.3 puis script setup.sh je bloque. j'ai aussi le fichier ossec dans /var/www .

moi sur nginx sa marche pas Unable to access ossec directory. sinon ta fait une erreur pour l'installation du web ui de ossec

@boby31 > Regarde ce tutoriel : http://crunchbang.org/forums/d/14232 Il indique comment configurer lighttpd pour OssecWUI.

@Hardware j'ai tenté mais trop chaud pour mon niveau. j'arrivai plus a restart lighttpd. bon du coup je laisse sans webui

j'ai tenter de mettre ossec en sonde sa marche pas je pense qu'il faut installer prelude avant ossec et pour snort je pige rien mdr j'ai fait du gros bordel en plus avec les tuto donc je sais pas faut qu'on voit sa ensemble ^^ Modif de la nuit ba j'ai prelude qui marche plus du tout ^^ comment on le desinstalle ?

wget --header="User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:10.0) Gecko/20100101 Firefox/31.0" http://www.ossec.net/files/ossec-wui-0.8.tar.gz tar -xzf ossec-wui-0.8.tar.gz Bonsoir, comme on peut le voir sur le site de OSSEC ainsi que le GitHub , il existe une version 0.8 de la WebUI de OSSEC. Le tutoriel ne mentionne pas son existence. Ainsi je m'interroge, il y aurait une raison en particulier ? La version 0.3 serait préférable ? Une simple inconnue ? Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Par défaut, OSSEC me semble inactif sur ce point...

Petite erreur de ma part pour le numéro de version, je vais corriger ça de suite Wagner wrote: Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Injection d'url, c'est à dire ? Si tu parles des injections SQL et XSS, OSSEC prend en charge nativement ces deux types d'attaques avec les règles suivantes : <rule id="31103" level="6"> <if_sid>31100</if_sid> <url>=select%20|select+|insert%20|%20from%20|%20where%20|union%20|</url> <url>union+|where+|null,null|xp_cmdshell</url> <description>SQL injection attempt.</description> <group>attack,sql_injection,</group> </rule> <rule id="31105" level="6"> <if_sid>31100</if_sid> <url>%3Cscript|%3C%2Fscript|script>|script%3E|SRC=javascript|IMG%20|</url> <url>%20ONLOAD=|INPUT%20|iframe%20</url> <description>XSS (Cross Site Scripting) attempt.</description> <group>attack,</group> </rule> Je viens de faire un essai sur mon site web avec cette URL : /index.php?cat=articles&%20lid=-1%20UNION%20SELECT%200,username,userid,password J'ai été banni en moins de 4 secondes donc ça marche plutôt bien apparement

Ainsi, c'était juste une petite erreur de frappe, merci Hardware. request: "GET http://une.adresse.url 200 Voici un exemple, c'est extrait des logs de Nginx. Il ne s'agit pas d'injection SQL (ou XSS), juste une url (un nom de domaine). Parfois, c'est toujours la même. Avec Fail2Ban, ce type de tentatives ont un code d'erreur (404 etc). Avec OSSEC, c'est toujours le code 200. C'est la cause de cette impression... elle serait à tort ?

Les codes de statut du protocole HTTP sont déterminés uniquement par le serveur web. Si la ressource demandée par le client n'existe pas, le serveur web retourne systèmatiquement le code 404. OSSEC de son côté ne fait qu'analyser les logs du serveur web et prend une décision en fonction des règles contenues dans le répertoire /var/ossec/rules. Si un client génère une multitudes d'erreurs 404 pendant un laps de temps assez court, allors OSSEC bannira l'ip du client de manière temporaire simplement par prévention. Dans le cas d'un code de retour égal à 200 : request: "GET http://une.adresse.url 200..." c'est parfaitement normal qu'ossec ne réagisse pas car la requête a été traité avec succès par le serveur web, il n'y a donc pas d'action à entreprendre.

[Discussion] Sécuriser son serveur avec Ossec et Prelude : Page 10

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] Sécuriser son serveur avec Ossec et Prelude

Hardware

Apparement les binaires compilés dans le paquet libgcrypt20-dev ne sont pas compatibles avec l'architecture de ton système, il va falloir que tu compiles à la mano : [url]ftp://ftp.gnupg.org/gcrypt/libgcrypt/[/url]

En fait je pense pas que c'est un soucis d'architecture, enfin peu probable. Le paquet est compatible avec :

amd64 arm64 armel armhf i386 mips mipsel powerpc ppc64el s390x

Que te dit cette commande ?

uname -a

https://bugzilla.redhat.com/show_bug.cgi?id=742136

Gravefield

Merci pour ton aide

# uname -a  
Linux ***** 3.14.32-xxxx-grs-ipv6-64 #1 SMP Sat Feb 7 11:35:27 CET 2015 x86_64 GNU/Linux

C'est quoi alors, un bug?

Hardware

Oui ou alors c'est à cause de grsecurity ( xxxx-grs-ipv6 ), tu peux essayer avec un autre noyau via netboot si tu es chez OVH.

Gravefield

Oui, c'est un serveur kimsufi, j'ai bien un lien "Netboot" mails j'ai l'impression que je ne peut pas le faire.

J'ai mal fais l’installation? Je ne sais même pas ce que c'est le "NetBoot" ^^

Hardware

Non non tu as bien fait l'installation, ce que je veux te dire, c'est d'essayer un autre kernel en démarrant dessus via le réseau, actuellement tu utilises le noyau installé sur le disque dur, clique sur "Netboot > réseau" et selectionne un autre kernel.

Gravefield

lol je suis toujours à la ramasse xD je ne savais pas qu'on pouvait faire ça.

Je choisis une version stable?

Hardware

Oui celui là par exemple :

Gravefield

Le serveur à redémarré, j'ai bien :
Boot : Stable kernel, vanilla - 64bit

# uname -a
 3.14.32-xxxx-std-ipv6-64 #1 SMP Sat Feb 7 12:07:25 CET 2015 x86_64 GNU/Linux

Mais j'ai toujours le même problème :

# ./configure --without-perl --without-lua --with-python=/usr/bin/python2.7 
./configure: line 10200: /usr/bin/file: No such file or directory
configure: WARNING:
***
*** The config script /usr/bin/libgcrypt-config was
*** built for x86_64-pc-linux-gnu and thus may not match the
*** used host x86_64-unknown-linux-gnu.
*** You may want to use the configure option --with-libgcrypt-prefix
*** to specify a matching config script.
***

Le résulat complet de la commande :
https://meshup.net/paste/?723eacf4f981cd64#eRqSv6H/p6gcRewdSHUcZqeOLnjouBbIQRpuuRwonFE=

Wonderfall

J'ai exactement le même kernel (Kimsufi aussi), je ne pense pas que ça vienne de là, si tu veux mon avis.

Gravefield

Je fais quoi j'essai d'aller plus loin en continuant le tuto ?

# On inclus la librairie cstddef
sed -i '1 i\#include <cstddef>' bindings/python/_PreludeEasy.cxx

make
make install

Hardware

Non tu peux pas. Faut résoudre ton soucis avant.

Gravefield

J'essaie ta première idée de compiler libgcrypt ?

README - Libgcrypt wrote: Build Instructions
------------------

The download canonical location for libgcrypt is:

[url]ftp://ftp.gnupg.org/gcrypt/libgcrypt/[/url]

To build libgcrypt you need libgpg-error:

[url]ftp://ftp.gnupg.org/gcrypt/libgpg-error/[/url]

You should get the latest versions of course.

After building and installing the libgpg-error package, you may
continue with Libgcrypt installation as with allmost all GNU
packages, you just have to do

./configure
make
make check
make install

The "make check" is not required but a good idea to see whether
the library works as expected. The check takes some while and
prints some benchmarking results. Before doing "make install" you
probably need to become root.

Donc je compile "libgpg-error", puis "libgcrypt".
J'ai jamais compiler "de moi même" lol

Hardware

Oui tu peux essayer cette solution.

Gravefield

La seul erreur que j'ai encore c'est :

./configure: line 10200: /usr/bin/file: No such file or directory

sinon libgcrypt à l'ai OK :

[...]

checking for libgcrypt-config... /usr/local/bin/libgcrypt-config
checking for LIBGCRYPT - version >= 1.1.94... yes (1.6.3)
checking LIBGCRYPT API version... okay

[...]

*** Dumping configuration ***
    - Generate documentation   : no
    - LUA binding              : no
    - Perl binding             : no
    - Python binding           : yes
    - Ruby binding             : no
    - Easy bindings            : yes

L'erreur restante est importante ou je peux continuer?

Edit :
Pour info Hardware sur le chat à indiqué de continuer. L’installation de Libprelude est Ok maintenant

MERCI

Gravefield

Bon c'est encore moi ^^

J'ai un problème pour démarrer le service Prewikka :

# service prewikka start
Failed to start prewikka.service: Unit prewikka.service failed to load: No such file or directory.

L'instalation de Prewikka
Configuration de Prewikka

Edit

wonderfall wrote: D'abord :
systemctl enable prewikka.service
Et ça ira très bien après.

Effectivement merci

Wonderfall

Gravefield wrote:Bon c'est encore moi ^^

J'ai un problème pour démarrer le service Prewikka :
# service prewikka start
Failed to start prewikka.service: Unit prewikka.service failed to load: No such file or directory.
L'instalation de Prewikka
Configuration de Prewikka

D'abord :

systemctl enable prewikka.service

Et ça ira très bien après.

Sinon j'ai un petit warning quand je fais service ossec status ou sur d'autres sondes prelude :

Jun 26 02:39:16 hostname prelude-lml[27905]: Libgcrypt warning: missing initialization - please fix the application

What ? Rien de grave ? Sinon tout fonctionne correctement.

Gravefield

Bonjour,

Voici mon problème :

Prelud-correlator : Manquant.
j'ai donc lancé : /usr/local/bin/prelude-check-components

# /usr/local/bin/prelude-check-components
[OK] Prelude Manager est actuellement en service
[OK] Prelude LML est actuellement en service
[OK] Prelude Correlator est actuellement en service
[OK] Prewikka est actuellement en service

Prelude Correlator est actuellement en service mais n'est pas connecté.

Que puis-je faire?

Hardware

Relancer prelude-correlator.

Gravefield

Comment se sentir bête xD

Bah merci, je ne sais pas pourquoi j'ai pas pensé à le faire

Gravefield

J'ai voulu faire la maj sur la framboise, j'ai eu un soucis à l’installation au niveau de "make analysisd"

 *** Making analysisd ***

make[1]: Entering directory '/tmp/ossec-hids-2.8.2/src/analysisd'
cd ./cdb; make
make[2]: Entering directory '/tmp/ossec-hids-2.8.2/src/analysisd/cdb'
cc -I../ -g -Wall -I../../ -I../../headers  -DDEFAULTDIR=\"/var/ossec\" -DUSE_OPENSSL -DUSEINOTIFY      -DARG                               V0=\"cdb\" -DOSSECHIDS -c cdb.c cdb_hash.c cdb_make.c uint32_pack.c uint32_unpack.c
ar cru cdb.a cdb.o cdb_hash.o cdb_make.o uint32_pack.o uint32_unpack.o
ar cru cdb_make.a cdb.o cdb_hash.o cdb_make.o uint32_pack.o uint32_unpack.o
ranlib cdb.a
ranlib cdb_make.a
make[2]: Leaving directory '/tmp/ossec-hids-2.8.2/src/analysisd/cdb'
cd ./alerts; make
make[2]: Entering directory '/tmp/ossec-hids-2.8.2/src/analysisd/alerts'
cc -I../ -g -Wall -I../../ -I../../headers  -DDEFAULTDIR=\"/var/ossec\" -DUSE_OPENSSL -DUSEINOTIFY      -DARG                               V0=\"alerts\" -DOSSECHIDS -c mail.c log.c exec.c getloglocation.c
ar cru alerts.a mail.o log.o exec.o getloglocation.o
ranlib alerts.a
make[2]: Leaving directory '/tmp/ossec-hids-2.8.2/src/analysisd/alerts'
cd ./decoders; make
make[2]: Entering directory '/tmp/ossec-hids-2.8.2/src/analysisd/decoders'
cd plugins; make;
make[3]: Entering directory '/tmp/ossec-hids-2.8.2/src/analysisd/decoders/plugins'
cc -g -Wall -I../../../ -I../../../headers  -DDEFAULTDIR=\"/var/ossec\" -DUSE_OPENSSL -DUSEINOTIFY      -DARG                               V0=\"ossec-analysisd\" -DOSSECHIDS -I../../ -c *.c
make[3]: Leaving directory '/tmp/ossec-hids-2.8.2/src/analysisd/decoders/plugins'
cc -g -Wall -I../../ -I../../headers  -DDEFAULTDIR=\"/var/ossec\" -DUSE_OPENSSL -DUSEINOTIFY      -DARGV0=\"o                               ssec-analysisd\" -DOSSECHIDS -I../ -c *.c
ar cru decoders.a *.o plugins/*.o
ranlib decoders.a
make[2]: Leaving directory '/tmp/ossec-hids-2.8.2/src/analysisd/decoders'
cd ./compiled_rules; make;
make[2]: Entering directory '/tmp/ossec-hids-2.8.2/src/analysisd/compiled_rules'
./register_rule.sh build
*Build completed.
cc -g -Wall -I../../ -I../../headers  -DDEFAULTDIR=\"/var/ossec\" -DUSE_OPENSSL -DUSEINOTIFY      -DARGV0=\"o                               ssec-analysisd\" -DOSSECHIDS -I../ -c *.c
make[2]: Leaving directory '/tmp/ossec-hids-2.8.2/src/analysisd/compiled_rules'
cc -g -Wall -I../ -I../headers  -DDEFAULTDIR=\"/var/ossec\" -DUSE_OPENSSL -DUSEINOTIFY      -DARGV0=\"ossec-a                               nalysisd\" -DOSSECHIDS  -I./ analysisd.c stats.c lists.c lists_list.c rules.c rules_list.c config.c fts.c dod                               iff.c eventinfo.c eventinfo_list.c cleanevent.c active-response.c picviz.c prelude.c zeromq_output.c compiled                               _rules/*.o ../config/lib_config.a decoders/decoders.a cdb/cdb.a cdb/cdb_make.a alerts/alerts.a ../os_xml/os_x                               ml.a ../os_regex/os_regex.a ../os_net/os_net.a ../shared/lib_shared.a ../os_zlib/os_zlib.c ../external/libz.a                                -DPRELUDE -lprelude -I/usr/local/include -L/usr/local/lib -lprelude -lgnutls -L/lib/arm-linux-gnueabihf -lgc                               rypt -ldl -lpthread ../external/libcJSON.a -lm   -o ossec-analysisd
/usr/bin/ld: warning: libgnutls.so.26, needed by /usr/local/lib/libprelude.so, may conflict with libgnutls.so                               .28
/usr/bin/ld: warning: libgcrypt.so.11, needed by /usr/local/lib/libprelude.so, may conflict with libgcrypt.so                               .20
/usr/local/lib/libgcrypt.so: undefined reference to `gpg_strsource@GPG_ERROR_1.0'
/usr/local/lib/libgcrypt.so: undefined reference to `gpg_err_code_from_syserror@GPG_ERROR_1.0'
/usr/local/lib/libgcrypt.so: undefined reference to `gpg_strerror@GPG_ERROR_1.0'
/usr/local/lib/libgcrypt.so: undefined reference to `gpg_err_code_from_errno@GPG_ERROR_1.0'
/usr/local/lib/libgcrypt.so: undefined reference to `gpg_err_set_errno@GPG_ERROR_1.0'
collect2: ld returned 1 exit status
Makefile:22: recipe for target 'logaudit' failed
make[1]: *** [logaudit] Error 1
make[1]: Leaving directory '/tmp/ossec-hids-2.8.2/src/analysisd'

Error Making analysisd
Makefile:38: recipe for target 'all' failed
make: *** [all] Error 1

 Error 0x5.
 Erreur de compilation. Impossible de finir l'installation.

/usr/bin/ld: warning: libgnutls.so.26, needed by /usr/local/lib/libprelude.so, may conflict with libgnutls.so
/usr/bin/ld: warning: libgcrypt.so.11, needed by /usr/local/lib/libprelude.so, may conflict with libgcrypt.so

une piste?

« Page précédente Page suivante »