Pour ce tuto : http://mondedie.fr/d/5821 Si vous avez une question, une remarque ou une suggestion, n'hésitez pas à poster un commentaire sur ce topic.

Super tutoriel !! Merci Hardware maintenant avec Ossec je suis au Sec !!

Super Hardware Merci Dis pour la partie OSSEC Web User Interface tu aurais une idée pour ceux qui sont sous lighttpd ? J'ai essayé de voir sur le net mais après install du dossier /var/www/ossec-wui-0.3 puis script setup.sh je bloque. j'ai aussi le fichier ossec dans /var/www .

moi sur nginx sa marche pas Unable to access ossec directory. sinon ta fait une erreur pour l'installation du web ui de ossec

@boby31 > Regarde ce tutoriel : http://crunchbang.org/forums/d/14232 Il indique comment configurer lighttpd pour OssecWUI.

@Hardware j'ai tenté mais trop chaud pour mon niveau. j'arrivai plus a restart lighttpd. bon du coup je laisse sans webui

j'ai tenter de mettre ossec en sonde sa marche pas je pense qu'il faut installer prelude avant ossec et pour snort je pige rien mdr j'ai fait du gros bordel en plus avec les tuto donc je sais pas faut qu'on voit sa ensemble ^^ Modif de la nuit ba j'ai prelude qui marche plus du tout ^^ comment on le desinstalle ?

wget --header="User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:10.0) Gecko/20100101 Firefox/31.0" http://www.ossec.net/files/ossec-wui-0.8.tar.gz tar -xzf ossec-wui-0.8.tar.gz Bonsoir, comme on peut le voir sur le site de OSSEC ainsi que le GitHub , il existe une version 0.8 de la WebUI de OSSEC. Le tutoriel ne mentionne pas son existence. Ainsi je m'interroge, il y aurait une raison en particulier ? La version 0.3 serait préférable ? Une simple inconnue ? Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Par défaut, OSSEC me semble inactif sur ce point...

Petite erreur de ma part pour le numéro de version, je vais corriger ça de suite Wagner wrote: Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Injection d'url, c'est à dire ? Si tu parles des injections SQL et XSS, OSSEC prend en charge nativement ces deux types d'attaques avec les règles suivantes : <rule id="31103" level="6"> <if_sid>31100</if_sid> <url>=select%20|select+|insert%20|%20from%20|%20where%20|union%20|</url> <url>union+|where+|null,null|xp_cmdshell</url> <description>SQL injection attempt.</description> <group>attack,sql_injection,</group> </rule> <rule id="31105" level="6"> <if_sid>31100</if_sid> <url>%3Cscript|%3C%2Fscript|script>|script%3E|SRC=javascript|IMG%20|</url> <url>%20ONLOAD=|INPUT%20|iframe%20</url> <description>XSS (Cross Site Scripting) attempt.</description> <group>attack,</group> </rule> Je viens de faire un essai sur mon site web avec cette URL : /index.php?cat=articles&%20lid=-1%20UNION%20SELECT%200,username,userid,password J'ai été banni en moins de 4 secondes donc ça marche plutôt bien apparement

Ainsi, c'était juste une petite erreur de frappe, merci Hardware. request: "GET http://une.adresse.url 200 Voici un exemple, c'est extrait des logs de Nginx. Il ne s'agit pas d'injection SQL (ou XSS), juste une url (un nom de domaine). Parfois, c'est toujours la même. Avec Fail2Ban, ce type de tentatives ont un code d'erreur (404 etc). Avec OSSEC, c'est toujours le code 200. C'est la cause de cette impression... elle serait à tort ?

Les codes de statut du protocole HTTP sont déterminés uniquement par le serveur web. Si la ressource demandée par le client n'existe pas, le serveur web retourne systèmatiquement le code 404. OSSEC de son côté ne fait qu'analyser les logs du serveur web et prend une décision en fonction des règles contenues dans le répertoire /var/ossec/rules. Si un client génère une multitudes d'erreurs 404 pendant un laps de temps assez court, allors OSSEC bannira l'ip du client de manière temporaire simplement par prévention. Dans le cas d'un code de retour égal à 200 : request: "GET http://une.adresse.url 200..." c'est parfaitement normal qu'ossec ne réagisse pas car la requête a été traité avec succès par le serveur web, il n'y a donc pas d'action à entreprendre.

[Discussion] Sécuriser son serveur avec Ossec et Prelude : Page 11

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] Sécuriser son serveur avec Ossec et Prelude

Solinvictus

Salut Hard,

J'ai un souci depuis hier soir et je ne vois pas comment le résoudre :

status prelude-lml.service -l
● prelude-lml.service - LSB: Start prelude-lml sensor
   Loaded: loaded (/etc/init.d/prelude-lml)
   Active: failed (Result: exit-code) since sam. 2015-07-04 12:04:59 CEST; 26s ago
  Process: 3604 ExecStart=/etc/init.d/prelude-lml start (code=exited, status=127)

juil. 04 12:04:59  prelude-lml[3604]: Starting Prelude LML: /usr/local/bin/prelude-lml: error while loading shared libraries: libicui18n.so.48: cannot open shared object file: No such file or directory
juil. 04 12:04:59 systemd[1]: prelude-lml.service: control process exited, code=exited status=127
juil. 04 12:04:59 systemd[1]: Failed to start LSB: Start prelude-lml sensor.
juil. 04 12:04:59 systemd[1]: Unit prelude-lml.service entered failed state.

Prelude-lml ne redémarre pas, et le message d'erreur ne me parle pas.

Hardware

Soit la libicu n'est plus installée, soit elle n'est plus dans le PATH.

Solinvictus

Hardware wrote:Soit la libicu n'est plus installée, soit elle n'est plus dans le PATH.

Le paquet est installé.

De quel PATH parles-tu Hard ? Je vois rien en rapport dans le tutoriel.

Solinvictus

Hard,

Il cherche :

error while loading shared libraries: libicui18n.so.48

Ne le trouvant pas, il ne lance par Prelude-lml. (Y'a 3 jours, tout fonctionnait... Je n'ai pas fait attention aux dernières MAJ)

libicui18n.so.48 est bien présent sous Debian 7 :

find / -name "libicu*"                                                                                                                                                          ~
/usr/share/doc/libicu48
/usr/share/doc/libicu-dev
/usr/share/lintian/overrides/libicu48
/usr/lib/x86_64-linux-gnu/libicuuc.so.48.1.1
/usr/lib/x86_64-linux-gnu/libicuio.so.48
/usr/lib/x86_64-linux-gnu/libicutu.so
/usr/lib/x86_64-linux-gnu/libicui18n.so.48
/usr/lib/x86_64-linux-gnu/libicutu.so.48
/usr/lib/x86_64-linux-gnu/libicuuc.so
/usr/lib/x86_64-linux-gnu/libicuio.so.48.1.1
/usr/lib/x86_64-linux-gnu/libicutest.so
/usr/lib/x86_64-linux-gnu/libicui18n.so.48.1.1
/usr/lib/x86_64-linux-gnu/libicutu.a
/usr/lib/x86_64-linux-gnu/libicudata.so.48.1.1
/usr/lib/x86_64-linux-gnu/libicule.so.48.1.1
/usr/lib/x86_64-linux-gnu/libiculx.a
/usr/lib/x86_64-linux-gnu/libicutest.so.48
/usr/lib/x86_64-linux-gnu/libicuuc.a
/usr/lib/x86_64-linux-gnu/libicule.so
/usr/lib/x86_64-linux-gnu/libicuuc.so.48
/usr/lib/x86_64-linux-gnu/libicuio.so
/usr/lib/x86_64-linux-gnu/libicudata.a
/usr/lib/x86_64-linux-gnu/libiculx.so.48.1.1
/usr/lib/x86_64-linux-gnu/libiculx.so
/usr/lib/x86_64-linux-gnu/libicule.a
/usr/lib/x86_64-linux-gnu/libicui18n.a
/usr/lib/x86_64-linux-gnu/libiculx.so.48
/usr/lib/x86_64-linux-gnu/libicule.so.48
/usr/lib/x86_64-linux-gnu/libicudata.so
/usr/lib/x86_64-linux-gnu/libicutu.so.48.1.1
/usr/lib/x86_64-linux-gnu/libicutest.so.48.1.1
/usr/lib/x86_64-linux-gnu/libicuio.a
/usr/lib/x86_64-linux-gnu/libicutest.a
/usr/lib/x86_64-linux-gnu/libicui18n.so
/usr/lib/x86_64-linux-gnu/libicudata.so.48
/var/lib/dpkg/info/libicu48:amd64.shlibs
/var/lib/dpkg/info/libicu48:amd64.list
/var/lib/dpkg/info/libicu-dev.md5sums
/var/lib/dpkg/info/libicu48:amd64.md5sums
/var/lib/dpkg/info/libicu48:amd64.postrm
/var/lib/dpkg/info/libicu48:amd64.postinst
/var/lib/dpkg/info/libicu-dev.list

Alors que sous Debian 8, c'est libicui18n.so.52 qui est présent :

find / -name "libicu*"
/usr/share/lintian/overrides/libicu52
/usr/share/doc/libicu-dev
/usr/share/doc/libicu52
/usr/lib/x86_64-linux-gnu/libicuuc.so.52
/usr/lib/x86_64-linux-gnu/libicui18n.so.52.1
/usr/lib/x86_64-linux-gnu/libicuio.so.52.1
/usr/lib/x86_64-linux-gnu/libiculx.a
/usr/lib/x86_64-linux-gnu/libicutest.so.52.1
/usr/lib/x86_64-linux-gnu/libicuuc.a
/usr/lib/x86_64-linux-gnu/libiculx.so.52
/usr/lib/x86_64-linux-gnu/libicutu.so.52
/usr/lib/x86_64-linux-gnu/libicutest.a
/usr/lib/x86_64-linux-gnu/libicutu.a
/usr/lib/x86_64-linux-gnu/libicudata.so
/usr/lib/x86_64-linux-gnu/libicutu.so.52.1
/usr/lib/x86_64-linux-gnu/libicudata.so.52.1
/usr/lib/x86_64-linux-gnu/libicutest.so.52
/usr/lib/x86_64-linux-gnu/libicuio.a
/usr/lib/x86_64-linux-gnu/libicui18n.a
/usr/lib/x86_64-linux-gnu/libicule.so
/usr/lib/x86_64-linux-gnu/libicuuc.so
/usr/lib/x86_64-linux-gnu/libiculx.so.52.1
/usr/lib/x86_64-linux-gnu/libiculx.so
/usr/lib/x86_64-linux-gnu/libicui18n.so
/usr/lib/x86_64-linux-gnu/libicule.so.52.1
/usr/lib/x86_64-linux-gnu/libicule.a
/usr/lib/x86_64-linux-gnu/libicuuc.so.52.1
/usr/lib/x86_64-linux-gnu/libicule.so.52
/usr/lib/x86_64-linux-gnu/libicudata.so.52
/usr/lib/x86_64-linux-gnu/libicuio.so.52
/usr/lib/x86_64-linux-gnu/libicudata.a
/usr/lib/x86_64-linux-gnu/libicuio.so
/usr/lib/x86_64-linux-gnu/libicutest.so
/usr/lib/x86_64-linux-gnu/libicui18n.so.52
/usr/lib/x86_64-linux-gnu/libicutu.so
/var/cache/apt/archives/libicu-dev_52.1-8_amd64.deb
/var/lib/dpkg/info/libicu52:amd64.md5sums
/var/lib/dpkg/info/libicu52:amd64.list
/var/lib/dpkg/info/libicu52:amd64.shlibs
/var/lib/dpkg/info/libicu48:amd64.list
/var/lib/dpkg/info/libicu-dev:amd64.md5sums
/var/lib/dpkg/info/libicu48:amd64.postrm
/var/lib/dpkg/info/libicu-dev:amd64.list
/var/lib/dpkg/info/libicu52:amd64.postrm
/var/lib/dpkg/info/libicu52:amd64.postinst

Et pourtant, c'est cohérent, cf. Prelude-lml pour Wheezy et Prelude-lml pour Jessie.

Pourquoi cherche-t'il libicu48 qui est un composant unicode pour une version antérieure ???

J'ai beau cherché, depuis avant-hier, je ne trouve rien...

Hardware

La je pense qu'il faudrait demander directement sur le site officiel : https://www.prelude-siem.org/projects/prelude/issues
J'ai pas vraiment d'idée de ce qui a pu ce passer.

Solinvictus

Hardware wrote:La je pense qu'il faudrait demander directement sur le site officiel : https://www.prelude-siem.org/projects/prelude/issues
J'ai pas vraiment d'idée de ce qui a pu ce passer.

Je continue de chercher, puis je le contacterais. Si une solution m'est apportée, je te tiendrais informé.

konova

Salut c'est encore moi!

Je suis en train de faire le tuto est je suis bloqué.

J'en suis vers la fin:

Démarrage des services

Il ne reste plus qu'à démarrer les services :

service prelude-manager      start
service prelude-lml          start
service prelude-correlator   start
service prewikka             restart

Quand je fais : service prelude-manager start j'obtiens

[....] Starting prelude-manager : prelude-manager06 Jul 23:44:29 (process:31582)
 INFO: Subscribing Normalize to active decoding plugins.                        
/usr/local/etc/prelude-manager/prelude-manager.conf:184: invalid option "type" i
n "global" section.                                                             
/usr/local/etc/prelude-manager/prelude-manager.conf:190: invalid option "host" i
n "global" section.                                                             
/usr/local/etc/prelude-manager/prelude-manager.conf:193: invalid option "port" i
n "global" section.                                                             
/usr/local/etc/prelude-manager/prelude-manager.conf:196: invalid option "name" i
n "global" section.                                                             
/usr/local/etc/prelude-manager/prelude-manager.conf:202: invalid option "pass" i
n "global" section.                                                             
 failed!

mon .conf:

include = /usr/local/etc/prelude/default/global.conf  

listen = 127.0.0.1 

# [db]                                                                          
                                                                                
# The type of database: mysql, pgsql or sqlite3.                                
type = mysql                                                                    
                                                                                                                   
# Host the database is listening on.                                            
host = localhost                                                                
                                                                                
# Port the database is listening on.                                            
port = 3306                                                                     
                                                                                
# Name of the database.                                                         
name = prelude                                                                  
                                                                                
# Username to be used to connect the database.                                  
user = prelude                                                                  
                                                                                
# Password used to connect the database.                                        
pass = mon mot de passe

les autres:

service prelude-lml          start
service prelude-correlator   start
service prewikka             restart

c'est ok.

Hardware

Tu as oublié de décommenter # [db]

Solinvictus

~~Hard, tu as un compte sur prelude-siem ? J'ai essayé de m'inscrire, hier, pour leur exposer le problème mais je ne reçois aucun mail pour valider l'inscription.~~

Je l'ai reçu à l'instant.

konova

Oui effectivement Hard... Merci

konova

Par contre j'avais pas vue mais depuis que c'est installé, j'ai l'impression que ça m'a bloqué transmission et mon serveur smtp ne répond plus. Quand j'accede à rainloop, j'ai serveur injoignable et sur transmission ça bouge plus.

Hardware

Tu t'es fait bannir par ossec à cause de Rainloop, tu as du faire trop de requêtes POST. Prend le numéro de la règle et augmente la valeur de l'attribut "frequency".

konova

Ok et si je veux juste me deban pour le moment ?

Hardware

La commande est dans le tuto, mais par défaut tu es ban que 10 minutes donc tu peux attendre. Change cette règle sinon tu vas être ban à chaque fois.

konova

ça doit pas être ça alors parce que quand je veux envoyer un mail j'ai toujours serveur injoignable (depuis 2 jours). En revanche, je reçois les mails.

Jerino

Bonjour a tous

Quelqu’un pourrai m aider a solution ce problème?

Traceback (most recent call last):
  File "/usr/local/lib/python2.7/dist-packages/prewikka/Core.py", line 358, in process
    getattr(view_object, view["handler"])()
  File "/usr/local/lib/python2.7/dist-packages/prewikka/views/alertlisting.py", line 1363, in render
    total = self._setMessages(criteria)
  File "/usr/local/lib/python2.7/dist-packages/prewikka/views/alertlisting.py", line 1257, in _setMessages
    return self._setAggregatedMessagesNoValues(criteria, ag_s, ag_t, ag_c, ag_a)
  File "/usr/local/lib/python2.7/dist-packages/prewikka/views/alertlisting.py", line 1205, in _setAggregatedMessagesNoValues
    self._getMissingAggregatedInfos(message, valueshash, parameters, criteria2, aggregated_count)
  File "/usr/local/lib/python2.7/dist-packages/prewikka/views/alertlisting.py", line 1022, in _getMissingAggregatedInfos
    alert_list = self.env.idmef_db.getValues( selection + ["max(alert.messageid)", "count(alert.messageid)" ], criteria2)
  File "/usr/local/lib/python2.7/dist-packages/prewikka/IDMEFDatabase.py", line 474, in getValues
    result = preludedb_get_values2(self._db, my_selection, criteria, distinct, limit, offset)
PreludeDBError: Lost connection to MySQL server during query

merci d'avance

adrianboker

Coucou Hard !
Dans le tuto tu as oublié libgcrypt11-dev qui est nécessaire pour preludeDB
Voilà

Hardware

Hum pour quelle distrib ?

Jerino

Moi je suis sur debian 7 et le ce problème à commencer peut de temps après sa mise en service pour la phase test

aider moi SVP

Jerino

j ai un problème avec prelude-correlator qui se désactive souvent tout seul et quand je veux le redémarrer avec restart ca donne ceci
Merci

root@ids:~# service prelude-correlator restart
[....] Restarting prelude-correlator: prelude-correlator26 Jul 08:52:05 PreludeCorrelator.pluginmanager (pid:3174) INFO: [FirewallPlugin]: disabled on user request
26 Jul 08:52:05 PreludeCorrelator.pluginmanager (pid:3174) INFO: [BusinessHourPlugin]: disabled on user request
26 Jul 08:52:05 PreludeCorrelator.plugins.dshield (pid:3174) INFO: Downloading host list, this might take some time...
26 Jul 08:52:05 PreludeCorrelator.pluginmanager (pid:3174) ERROR: [DshieldPlugin]: exception occurred while loading
Traceback (most recent call last):
File "/usr/local/lib/python2.7/dist-packages/PreludeCorrelator/pluginmanager.py", line 110, in __init__
pi = plugin_class(env)
File "/usr/local/lib/python2.7/dist-packages/PreludeCorrelator/plugins/dshield.py", line 93, in __init__
self.__retrieveData()
File "/usr/local/lib/python2.7/dist-packages/PreludeCorrelator/plugins/dshield.py", line 80, in __retrieveData
self.__downloadData()
File "/usr/local/lib/python2.7/dist-packages/PreludeCorrelator/plugins/dshield.py", line 61, in __downloadData
con.request("GET", self.__uri)
File "/usr/lib/python2.7/httplib.py", line 962, in request
self._send_request(method, url, body, headers)
File "/usr/lib/python2.7/httplib.py", line 996, in _send_request
self.endheaders(body)
File "/usr/lib/python2.7/httplib.py", line 958, in endheaders
self._send_output(message_body)
File "/usr/lib/python2.7/httplib.py", line 818, in _send_output
self.send(msg)
File "/usr/lib/python2.7/httplib.py", line 780, in send
self.connect()
File "/usr/lib/python2.7/httplib.py", line 761, in connect
self.timeout, self.source_address)
File "/usr/lib/python2.7/socket.py", line 553, in create_connection
for res in getaddrinfo(host, port, 0, SOCK_STREAM):
gaierror: [Errno -2] Name or service not known
26 Jul 08:52:05 PreludeCorrelator.plugins.spamhausdrop (pid:3174) INFO: Downloading host list, this might take some time...
26 Jul 08:52:05 PreludeCorrelator.pluginmanager (pid:3174) ERROR: [SpamhausDropPlugin]: exception occurred while loading
Traceback (most recent call last):
File "/usr/local/lib/python2.7/dist-packages/PreludeCorrelator/pluginmanager.py", line 110, in __init__
pi = plugin_class(env)
File "/usr/local/lib/python2.7/dist-packages/PreludeCorrelator/plugins/spamhausdrop.py", line 111, in __init__
self.__retrieveData()
File "/usr/local/lib/python2.7/dist-packages/PreludeCorrelator/plugins/spamhausdrop.py", line 98, in __retrieveData
self.__downloadData()
File "/usr/local/lib/python2.7/dist-packages/PreludeCorrelator/plugins/spamhausdrop.py", line 79, in __downloadData
con.request("GET", self.__uri)
File "/usr/lib/python2.7/httplib.py", line 962, in request
self._send_request(method, url, body, headers)
File "/usr/lib/python2.7/httplib.py", line 996, in _send_request
self.endheaders(body)
File "/usr/lib/python2.7/httplib.py", line 958, in endheaders
self._send_output(message_body)
File "/usr/lib/python2.7/httplib.py", line 818, in _send_output
self.send(msg)
File "/usr/lib/python2.7/httplib.py", line 780, in send
self.connect()
File "/usr/lib/python2.7/httplib.py", line 761, in connect
self.timeout, self.source_address)
File "/usr/lib/python2.7/socket.py", line 553, in create_connection
for res in getaddrinfo(host, port, 0, SOCK_STREAM):
gaierror: [Errno -2] Name or service not known
26 Jul 08:52:05 PreludeCorrelator.main (pid:3174) INFO: 6 plugins have been loaded.
. ok

« Page précédente Page suivante »