Pour ce tuto : http://mondedie.fr/d/5821 Si vous avez une question, une remarque ou une suggestion, n'hésitez pas à poster un commentaire sur ce topic.

Super tutoriel !! Merci Hardware maintenant avec Ossec je suis au Sec !!

Super Hardware Merci Dis pour la partie OSSEC Web User Interface tu aurais une idée pour ceux qui sont sous lighttpd ? J'ai essayé de voir sur le net mais après install du dossier /var/www/ossec-wui-0.3 puis script setup.sh je bloque. j'ai aussi le fichier ossec dans /var/www .

moi sur nginx sa marche pas Unable to access ossec directory. sinon ta fait une erreur pour l'installation du web ui de ossec

@boby31 > Regarde ce tutoriel : http://crunchbang.org/forums/d/14232 Il indique comment configurer lighttpd pour OssecWUI.

@Hardware j'ai tenté mais trop chaud pour mon niveau. j'arrivai plus a restart lighttpd. bon du coup je laisse sans webui

j'ai tenter de mettre ossec en sonde sa marche pas je pense qu'il faut installer prelude avant ossec et pour snort je pige rien mdr j'ai fait du gros bordel en plus avec les tuto donc je sais pas faut qu'on voit sa ensemble ^^ Modif de la nuit ba j'ai prelude qui marche plus du tout ^^ comment on le desinstalle ?

wget --header="User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:10.0) Gecko/20100101 Firefox/31.0" http://www.ossec.net/files/ossec-wui-0.8.tar.gz tar -xzf ossec-wui-0.8.tar.gz Bonsoir, comme on peut le voir sur le site de OSSEC ainsi que le GitHub , il existe une version 0.8 de la WebUI de OSSEC. Le tutoriel ne mentionne pas son existence. Ainsi je m'interroge, il y aurait une raison en particulier ? La version 0.3 serait préférable ? Une simple inconnue ? Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Par défaut, OSSEC me semble inactif sur ce point...

Petite erreur de ma part pour le numéro de version, je vais corriger ça de suite Wagner wrote: Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Injection d'url, c'est à dire ? Si tu parles des injections SQL et XSS, OSSEC prend en charge nativement ces deux types d'attaques avec les règles suivantes : <rule id="31103" level="6"> <if_sid>31100</if_sid> <url>=select%20|select+|insert%20|%20from%20|%20where%20|union%20|</url> <url>union+|where+|null,null|xp_cmdshell</url> <description>SQL injection attempt.</description> <group>attack,sql_injection,</group> </rule> <rule id="31105" level="6"> <if_sid>31100</if_sid> <url>%3Cscript|%3C%2Fscript|script>|script%3E|SRC=javascript|IMG%20|</url> <url>%20ONLOAD=|INPUT%20|iframe%20</url> <description>XSS (Cross Site Scripting) attempt.</description> <group>attack,</group> </rule> Je viens de faire un essai sur mon site web avec cette URL : /index.php?cat=articles&%20lid=-1%20UNION%20SELECT%200,username,userid,password J'ai été banni en moins de 4 secondes donc ça marche plutôt bien apparement

Ainsi, c'était juste une petite erreur de frappe, merci Hardware. request: "GET http://une.adresse.url 200 Voici un exemple, c'est extrait des logs de Nginx. Il ne s'agit pas d'injection SQL (ou XSS), juste une url (un nom de domaine). Parfois, c'est toujours la même. Avec Fail2Ban, ce type de tentatives ont un code d'erreur (404 etc). Avec OSSEC, c'est toujours le code 200. C'est la cause de cette impression... elle serait à tort ?

Les codes de statut du protocole HTTP sont déterminés uniquement par le serveur web. Si la ressource demandée par le client n'existe pas, le serveur web retourne systèmatiquement le code 404. OSSEC de son côté ne fait qu'analyser les logs du serveur web et prend une décision en fonction des règles contenues dans le répertoire /var/ossec/rules. Si un client génère une multitudes d'erreurs 404 pendant un laps de temps assez court, allors OSSEC bannira l'ip du client de manière temporaire simplement par prévention. Dans le cas d'un code de retour égal à 200 : request: "GET http://une.adresse.url 200..." c'est parfaitement normal qu'ossec ne réagisse pas car la requête a été traité avec succès par le serveur web, il n'y a donc pas d'action à entreprendre.

[Discussion] Sécuriser son serveur avec Ossec et Prelude : Page 12

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] Sécuriser son serveur avec Ossec et Prelude

chadyred

Salut à tous !

Au démarrage de prelude-manager, j'ai une erreur m’indiquant qu'il ne parvient pas à lire le fichier le configuration:

service prelude-manager start
[....] Restarting prelude-manager: prelude-manager03 Aug 10:51:46 (process:3498) INFO: Subscribing Normalize to active decoding plugins.
03 Aug 10:51:46 (process:3498) WARNING: config-file: error processing prelude-manager options: could not open '/usr/local/etc/prelude-manager/prelude-manager.conf' for reading: Permission denied.

Tous les autres service fonctionnent et possède les mêmes droits sur leur fichier de configuration que prelude-manager...j'ai tenté de mettre en droit : 644, puis 777 sur '/usr/local/etc/prelude-manager/prelude-manager.conf'. Mais rien y fais !

Merci.

Hardware

Regarde les droits sur le répertoire parent.

chadyred

Merci Hard de ta réponse rapide comme l'éclair !

Voici les droits des répertoires parents:

ls -al /usr/local/etc/
total 24
drwxrwsr-x  6 root staff 4096 août   2 08:55 .
drwxr-xr-x 12 root staff 4096 août   1 10:07 ..
drwxr-sr-x  4 root staff 4096 août   1 10:07 prelude
drwx--S---  3 root staff 4096 août   3 08:34 prelude-lml
drwx--S---  2 root staff 4096 août   3 10:13 prelude-manager
drwxr-xr-x  2 root staff 4096 août   1 14:27 prewikka

Hardware

C'est bon pourtant, peut-être qu'un autre process utilise le fichier de conf, regarde avec lsof, au pire redémarre ton serveur.

chadyred

Alors en listant les fichiers via la commande, aucun autre service n'utilise ce fichier de configuration...

J'ai reboot et toujours le même problème

En revanche, je me souviens que j'ai installé prelude-manager juste avant de créer les worker et non dans l'ordre du tuto (dont l'installation de prelude-manager était plus tôt).

Sinon est-ce qu'il est possible de réinstaller prelude-manager sans que cela altère mes workers ou autre chose?

Merci.

Hardware

ça va forcément altérer les autres workers.

chadyred

J'ai réinstaller et mis les droits de lectures des utilisateurs anonymes sur le répertoire /usr/ /usr/etc/ /usr/etc/local/ /usr/etc/local/prelude-manager/ et j'ai a nouveau une erreur.

service prelude-manager restart
Restarting prelude-manager: prelude-manager03 Aug 19:09:15 (process:3311) INFO: Subscribing Normalize to active decoding plugins.
03 Aug 19:09:15 (process:3311) WARNING: prelude-client: error initializing prelude-client: could not open profile 'prelude-manager': insufficient permission
 
Profile 'prelude-manager' does not exist. In order to create it, please run:
prelude-admin add "prelude-manager" --uid 110 --gid 114.
 failed!

chadyred

Finalement il se lance si je met un chmod 777 sur /usr/local/bin/prelude*, ce n'est pas top top pour la sécurité...mais parfois il redémarre, mais il est écrit 'failed' puis finalement il est bien démarré.

Il apparait bien, mais pas les autres...

Effectivement, lorsque j'essaie de redémarrer:

service prelude-correlator start
[....] Starting prelude-correlator : prelude-correlator04 Aug 12:34:47 PreludeCorrelator.pluginmanager (pid:3085) INFO: [FirewallPlugin]: disabled on user request
04 Aug 12:34:47 PreludeCorrelator.pluginmanager (pid:3085) INFO: [BusinessHourPlugin]: disabled on user request
04 Aug 12:35:10 PreludeCorrelator.main (pid:3085) INFO: 8 plugins have been loaded.
 failed!

Je n'est pas fais cette partie du tuto

Hardware wrote:Synchronisation des composants de Prelude

So I have a last question:

How to full remove ALL prelude install file (with /usr/local/bin/, /usr/local/prelude*, /etc/prelude/*) ?

nagmar

salut alors voilà j'ai une question vraiment con mais impossible
dans ce tuto : http://mondedie.fr/d/5821
je suis arrivé à ce niveau là :

au lancement des sondes mais lorsque je suis dans l'interface web je ne vois pas mes sondes et je ne comprend pas pour quoi tout me semble c'être bien déroulé

cordialement

billie

Bonjour jessaie de configurer prelude avec les sondes ossec et surricata. La configuration s'est bien passé pour ossec sauf qu'il ya un probléme au niveau de l'interface prewikka il s'affiche pas. Pour surricata j'arrive pas à continuer l'installation à cause de libprelude qui demeure inexistant alors que je l'ai bien installé.

"configure: error: Cannot find libprelude: Is libprelude-config in the path?"

Solinvictus

Solinvictus wrote:Salut Hard,

J'ai un souci depuis hier soir et je ne vois pas comment le résoudre :

status prelude-lml.service -l
● prelude-lml.service - LSB: Start prelude-lml sensor
   Loaded: loaded (/etc/init.d/prelude-lml)
   Active: failed (Result: exit-code) since sam. 2015-07-04 12:04:59 CEST; 26s ago
  Process: 3604 ExecStart=/etc/init.d/prelude-lml start (code=exited, status=127)

juil. 04 12:04:59  prelude-lml[3604]: Starting Prelude LML: /usr/local/bin/prelude-lml: error while loading shared libraries: libicui18n.so.48: cannot open shared object file: No such file or directory
juil. 04 12:04:59 systemd[1]: prelude-lml.service: control process exited, code=exited status=127
juil. 04 12:04:59 systemd[1]: Failed to start LSB: Start prelude-lml sensor.
juil. 04 12:04:59 systemd[1]: Unit prelude-lml.service entered failed state.

Prelude-lml ne redémarre pas, et le message d'erreur ne me parle pas.

:

Ce souci date un peu mais puisqu'il n'est pas résolu, je te sollicite une énième fois Hard. J'avais exposé mon problème sur prelude-siem et au final, il m'a fourni cette réponse :

Hello,

Maybe the prelude-lml module was built with libicui18n.so.48 installed, and now it is used with another version.
Could you try re-compiling prelude-lml on this machine?

(you can check your /var/log/apt directory for installed packages)

Tu pourrais m'aiguiller pour le recompiler s'il te plaît, je n'ai pas envie de faire de conneries...

Merci Hard.

Hardware

C'est indiqué dans le tuto comment le compiler.

Solinvictus

Hardware wrote:C'est indiqué dans le tuto comment le compiler.

Oui, je l'avais vu; Cela étant, je me demandais si il fallait reprendre la compilation telle qu'elle apparaît sur le tuto ou si il fallait faire des choses au préalable ?

Hardware

Non.

Solinvictus

Thanks.

Wonderfall

Il me semble que la version 1.2.6 de Prelude est sortie le mois dernier.
Une update du tutoriel est donc à envisager si possible.

https://www.prelude-siem.org/projects/prelude/files

August 2015 : New version of Prelude OSS : 1.2.6
Many changes:

New framework for Prewikka with:
Plugins and hooks
AJAX
Themes
Management of SQL schema
Multiple config file
Update high-level bindings
Performance improvements
IDMEF manipulation improvements
Fix various bugs

Wonderfall

Ah, et je pense qu'il y a une erreur dans le tutoriel (ou peut-être de mon côté, mais je ne pense pas vraiment).
J'ai suivi le tutoriel plusieurs fois (à la commande près) pour installer le WebUI d'OSSEC, sans succès. Ossec WebUI me sort : Unable to access ossec directory.

Je pense qu'il doit y avoir un problème de permission, mais j'ai vérifié, tout devrait être bon chez moi (ah et tout est bien dans /var/ossec).

Hardware

C'est une erreur qui est présente depuis le début, j'avais donné une solution dans le fil de discussion mais elle est fondamentalement incompatible avec rutorrent apparemment

Wonderfall

Ah, d'accord. Bon, bah j'ai viré ça et j'ai restauré les permissions initiales du coup.
Les mails c'est sympa, mais j'imagine que pour utiliser Prelude, va falloir réinstaller.

J'attendrai la mise à jour du tutoriel pour la 1.2.6 pour l'installer.

Solinvictus

Hardware wrote:C'est une erreur qui est présente depuis le début, j'avais donné une solution dans le fil de discussion mais elle est fondamentalement incompatible avec rutorrent apparemment ☹

Tu parles de cette directive :

open_basedir:/var/ossec/:/var/www/:/home/:...etc

A ajouter à :

/etc/php5/fpm/php.ini

Si oui, dans mon cas, cela fonctionne et n'interfère pas avec rutorrent.

« Page précédente Page suivante »