Pour ce tuto : http://mondedie.fr/d/5821 Si vous avez une question, une remarque ou une suggestion, n'hésitez pas à poster un commentaire sur ce topic.

Super tutoriel !! Merci Hardware maintenant avec Ossec je suis au Sec !!

Super Hardware Merci Dis pour la partie OSSEC Web User Interface tu aurais une idée pour ceux qui sont sous lighttpd ? J'ai essayé de voir sur le net mais après install du dossier /var/www/ossec-wui-0.3 puis script setup.sh je bloque. j'ai aussi le fichier ossec dans /var/www .

moi sur nginx sa marche pas Unable to access ossec directory. sinon ta fait une erreur pour l'installation du web ui de ossec

@boby31 > Regarde ce tutoriel : http://crunchbang.org/forums/d/14232 Il indique comment configurer lighttpd pour OssecWUI.

@Hardware j'ai tenté mais trop chaud pour mon niveau. j'arrivai plus a restart lighttpd. bon du coup je laisse sans webui

j'ai tenter de mettre ossec en sonde sa marche pas je pense qu'il faut installer prelude avant ossec et pour snort je pige rien mdr j'ai fait du gros bordel en plus avec les tuto donc je sais pas faut qu'on voit sa ensemble ^^ Modif de la nuit ba j'ai prelude qui marche plus du tout ^^ comment on le desinstalle ?

wget --header="User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:10.0) Gecko/20100101 Firefox/31.0" http://www.ossec.net/files/ossec-wui-0.8.tar.gz tar -xzf ossec-wui-0.8.tar.gz Bonsoir, comme on peut le voir sur le site de OSSEC ainsi que le GitHub , il existe une version 0.8 de la WebUI de OSSEC. Le tutoriel ne mentionne pas son existence. Ainsi je m'interroge, il y aurait une raison en particulier ? La version 0.3 serait préférable ? Une simple inconnue ? Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Par défaut, OSSEC me semble inactif sur ce point...

Petite erreur de ma part pour le numéro de version, je vais corriger ça de suite Wagner wrote: Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Injection d'url, c'est à dire ? Si tu parles des injections SQL et XSS, OSSEC prend en charge nativement ces deux types d'attaques avec les règles suivantes : <rule id="31103" level="6"> <if_sid>31100</if_sid> <url>=select%20|select+|insert%20|%20from%20|%20where%20|union%20|</url> <url>union+|where+|null,null|xp_cmdshell</url> <description>SQL injection attempt.</description> <group>attack,sql_injection,</group> </rule> <rule id="31105" level="6"> <if_sid>31100</if_sid> <url>%3Cscript|%3C%2Fscript|script>|script%3E|SRC=javascript|IMG%20|</url> <url>%20ONLOAD=|INPUT%20|iframe%20</url> <description>XSS (Cross Site Scripting) attempt.</description> <group>attack,</group> </rule> Je viens de faire un essai sur mon site web avec cette URL : /index.php?cat=articles&%20lid=-1%20UNION%20SELECT%200,username,userid,password J'ai été banni en moins de 4 secondes donc ça marche plutôt bien apparement

Ainsi, c'était juste une petite erreur de frappe, merci Hardware. request: "GET http://une.adresse.url 200 Voici un exemple, c'est extrait des logs de Nginx. Il ne s'agit pas d'injection SQL (ou XSS), juste une url (un nom de domaine). Parfois, c'est toujours la même. Avec Fail2Ban, ce type de tentatives ont un code d'erreur (404 etc). Avec OSSEC, c'est toujours le code 200. C'est la cause de cette impression... elle serait à tort ?

Les codes de statut du protocole HTTP sont déterminés uniquement par le serveur web. Si la ressource demandée par le client n'existe pas, le serveur web retourne systèmatiquement le code 404. OSSEC de son côté ne fait qu'analyser les logs du serveur web et prend une décision en fonction des règles contenues dans le répertoire /var/ossec/rules. Si un client génère une multitudes d'erreurs 404 pendant un laps de temps assez court, allors OSSEC bannira l'ip du client de manière temporaire simplement par prévention. Dans le cas d'un code de retour égal à 200 : request: "GET http://une.adresse.url 200..." c'est parfaitement normal qu'ossec ne réagisse pas car la requête a été traité avec succès par le serveur web, il n'y a donc pas d'action à entreprendre.

[Discussion] Sécuriser son serveur avec Ossec et Prelude : Page 13

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] Sécuriser son serveur avec Ossec et Prelude

Hardware

Ah bah c'est une bonne nouvelle alors

Wonderfall

Ah merci, ça fonctionne !

Assez sommaire le Web UI par contre, et des airs d'abandonware. Mais pour afficher vite fait les dernières alertes c'est sympathique.

Solinvictus

Wonderfall wrote:Ah merci, ça fonctionne !
Assez sommaire le Web UI par contre, et des airs d'abandonware. Mais pour afficher vite fait les dernières alertes c'est sympathique.

C'est exactement ça !

laster13

Bonsoir,

Je viens vers vous en désespoir de cause ne sachant pas ou trouver la solution bien qu ayant chercher sur le net des réponses mais sans succés.

Ma question ne concerne pas l'installation de prelude sur debian mais plutôt sur freebsd et je comprendrai vos reactions si vous estimez que ce post n'a pas sa place sur ce forum.

J essaye de compiler libprelude et libpreludedb. Pour le 1er je n'ai visiblement pas rencontré de difficultés mais lorsque je tente de compiler libpreludedb j'ai cette erreur :

checking for libprelude-config... /usr/local/bin/libprelude-config
checking for libprelude - version >= 1.2.5... no
*** Could not run libprelude test program, checking why...
*** The test program failed to compile or link. See the file config.log for the
*** exact error that occured. This usually means LIBPRELUDE was incorrectly installed
*** or that you have moved LIBPRELUDE since it was installed. In the latter case, you
*** may want to edit the libprelude-config script: /usr/local/bin/libprelude-config
configure: error: Cannot find libprelude: Is libprelude-config in the path?

J'ai pourtant bien déclaré les variables d'environnement sachant que sur freebsd la commande est :

 setenv LD_LIBRARY_PATH /usr/local/lib

Je tourne en rond, si vous pouvez me donner une piste

Merci

house

Bonjour,

Bravo pour ce tutoriel. J'ai suivi toutes les étapes du tutoriel jusqu' au demarrage des services "service prelude-manage", "service prelude-lml", "service prelude-correlator " et "service prewikka ". les trois derniers services ont bien démarré sauf celui de "prelude-manager" qui a démarré mais avec le message d'erreur ci-dessous.
"prelude-manager.service - LSB: Collect, store and report events from Prelude agents
Loaded: loaded (/etc/init.d/prelude-manager)
Active: active (exited) since Mon 2015-09-14 09:21:50 WAT; 43min ago
Docs: man:systemd-sysv-generator(8)

Sep 14 08:24:12 fahd-pc prelude-manager[17211]: ERROR: could not look...
Sep 14 08:24:12 fahd-pc prelude-manager[17211]: WARNING: Option error...
Sep 14 09:21:50 fahd-pc prelude-manager[17205]: /usr/local/etc/prelud...
Sep 14 09:21:50 fahd-pc prelude-manager[17205]: /usr/local/etc/prelud...
Sep 14 09:21:50 fahd-pc prelude-manager[17205]: /usr/local/etc/prelud...
Sep 14 09:21:50 fahd-pc prelude-manager[17205]: /usr/local/etc/prelud...
Sep 14 09:21:50 fahd-pc prelude-manager[17205]: ...done.
Sep 14 09:21:50 fahd-pc systemd[1]: Started LSB: Collect, store and ....
Sep 14 08:29:52 fahd-pc systemd[1]: Started LSB: Collect, store and ....
Sep 14 08:52:53 fahd-pc systemd[1]: Started LSB: Collect, store and ....
Hint: Some lines were ellipsized, use -l to show in full "

Ainsi, lorsque je vérifie le fonctionnenement des sondes en saisssant dans l'interface web l'adresse 127.0.0.1:8000, la connexion echoue. Et pourtant avant l'installation des agents de surveillance j'avais accès à prewikka dans le navigateur. Je suis sur UBUNTU 15.04.
Quelqu'un a-il une idée? merci

laster13

laster13 wrote:Bonsoir,

Je viens vers vous en désespoir de cause ne sachant pas ou trouver la solution bien qu ayant chercher sur le net des réponses mais sans succés.

Ma question ne concerne pas l'installation de prelude sur debian mais plutôt sur freebsd et je comprendrai vos reactions si vous estimez que ce post n'a pas sa place sur ce forum.

J essaye de compiler libprelude et libpreludedb. Pour le 1er je n'ai visiblement pas rencontré de difficultés mais lorsque je tente de compiler libpreludedb j'ai cette erreur :
checking for libprelude-config... /usr/local/bin/libprelude-config
checking for libprelude - version >= 1.2.5... no
*** Could not run libprelude test program, checking why...
*** The test program failed to compile or link. See the file config.log for the
*** exact error that occured. This usually means LIBPRELUDE was incorrectly installed
*** or that you have moved LIBPRELUDE since it was installed. In the latter case, you
*** may want to edit the libprelude-config script: /usr/local/bin/libprelude-config
configure: error: Cannot find libprelude: Is libprelude-config in the path?
J'ai pourtant bien déclaré les variables d'environnement sachant que sur freebsd la commande est :
 setenv LD_LIBRARY_PATH /usr/local/lib
Je tourne en rond, si vous pouvez me donner une piste

Merci

Problème réglé. Pour ceux qui rencontreraient le même problème, il suffit d'éditer le fichier libprelude-config et remplacer "thread_set=no" par "thread_set=yes"

Par contre je rencontre un autre soucis quand à l'installation de prewikka qui par ailleurs se deroule parfaitement bien sauf que lorsque je lance

/usr/local/bin/prewikka-httpd

J'obtiens

18 Sep 11:16:15 (process:9371) WARNING: /usr/local/lib/libpreludedb/plugins/formats/classic: file not found.
18 Sep 11:16:15 (process:9371) WARNING: /usr/local/lib/libpreludedb/plugins/formats/libclassic: file not found.
18 Sep 11:16:15 (process:9371) WARNING: /usr/local/lib/libpreludedb/plugins/sql/libmysql: file not found.
18 Sep 11:16:15 (process:9371) WARNING: /usr/local/lib/libpreludedb/plugins/sql/mysql: file not found.
Traceback (most recent call last):
  File "/usr/local/bin/prewikka-httpd", line 162, in <module>
    core = Core.get_core_from_config(config)
  File "/usr/local/lib/python2.7/site-packages/prewikka/Core.py", line 70, in get_core_from_config
    _core_cache[path] = Core(path)
  File "/usr/local/lib/python2.7/site-packages/prewikka/Core.py", line 125, in __init__
    self._initDatabase()
  File "/usr/local/lib/python2.7/site-packages/prewikka/Core.py", line 143, in _initDatabase
    self._env.db = Database.Database(config)
  File "/usr/local/lib/python2.7/site-packages/prewikka/Database.py", line 86, in __init__
    self._sql = preludedb_sql_new(db_type.encode("utf8"), settings)
preludedb.PreludeDBError: Could not load sql plugin 'mysql'

J'ai bien déclaré les varibles :

setenv PYTHONPATH /usr/local/lib/python2.7/site-packages:/usr/local/bin/prewikka-httpd

Dans "/usr/local/lib/libpreludedb/plugins/formats/" j'ai bien les librairies suivantes :
-classic.la
-libclassic.so

Et dans "/usr/local/lib/libpreludedb/plugins/sql"
-mysql.la
-libmysql.so

Merci

laster13

hello,

J'ai repris l'installation depuis le début considérant que le soucis provenait de libprelude. J'obtiens bien les lignes suivantes :

Dumping configuration ***
- Generate documentation : no
- LUA binding : no
- Perl binding : no
- Python binding : yes
- Ruby binding : no
- Easy bindings : yes

make puis make install, tout se passe bien sans aucune erreur. Ensuite "/sbin/ldconfig -m /usr/local/lib" puis "setenv LD_LIBRARY_PATH /usr/local/lib"

Je vais ensuite regarder mon dossier /usr/local/lib et là je constate que seuls les 4 fichiers suivant sont présents :

libpreludecpp.la
libpreludecpp.a
libprelude.la
libprelude.a

Je décide par ailleurs de faire une autre install mais cette fois avec les ports de "freebsd" et avec la commande "portmaster" sauf que la version installée est la 1.0.1. .Encore une fois tout se passe bien mais cette fois en vérifiant mon dossier /usr/local/lib j'obtient les fichiers suivants:

libpreludecpp.la
libpreludecpp.a
libprelude.la
libprelude.a
libpreludecpp.so
libpreludecpp.so.0
libprelude.so
libprelude.so.2
libprelude.so.2.19.1

Voila à mon avis ou se situe l'erreur, visiblement la librairie ne s'est pas compilée correctement avec les sources 1.2.6. Si vous avec une idée... Dans l'eventualité ou il s'agirait d'une impossibilité d'installer les dernières sources, est ce que la version 1.0.1 reste encore aujourd'hui suffisamment "actuelle" pour être installé sur un serveur?

laster13

Je suis arrivé au bout du tuto et cela fonctionne très bien. J'ai également installé prelude-lml et ossec sur un poste client, je me demandais s'il était utile d installer prelude-correlator sur le poste client

merci

Hardware

Ce n'est pas utile, prelude-correlator ne permet que de faire de la corrélation d'erreur pour prelude-manager sur le noeud principal donc le serveur maître.

Wonderfall

Pas d'update prévue du tuto vers la 1.2.6 ?

Hardware

ah oui c'est vrai, si c'était prévu mais dans mon inconscient

laster13

Juste une question concernant la différence d' efficacité de prélude avec le tuto propose par ex_rat ( securisation logs nginx). Est ce que ces 2 approches sont complémentaires ou redondantes?

Merci

Hardware

Redondant mais pour certaines parties c'est complémentaire (Sécurisation SSH, log rutorrent)

laster13

Comment gérer le fichier "/etc/hosts.deny" ? Les ip commencent à s'aligner les unes derrière les autres, faut il les effacer au bout d'un certain temps?

Hardware

@laster13: C'est géré automatiquement par Ossec via les actives-responses

laster13

Ce que je ne comprends pas c'est que Ossec via les actives-responses bloque les ip pendant 10 mn alors que dans le fichier host.deny j'ai des ip qui datent de plusieurs jours

Hardware

ah oui c'est problématique effectivement, tu as peut-être quelque chose sur ton serveur qui sauvegarde le fichier /etc/hosts.deny, via un cron par exemple.

laster13

En fait, comme je l'avais expliqué plus haut j'ai installé ton tuto sur freebsd et c'est pour cette raison que j'ai rencontré quelques difficultés d'adaptation. A ce propos sur freebsd le fichier /etc/hosts.deny est devenu obsolete et c'est le fichier /etc/hosts.allow qui gere les IP envoyées par OSSEC. J'ai verifié et il n'y a pas de cron concernant un enregistrement. Dois je considérer que le fichier hosts.allow doit se mettre à jour toutes les 10 mn lorsque les IP sont débannies?

laster13

Je viens de tomber sur ce post. Manifestement un bug sur Freebsd
Ossec et hosts.allow

Je vais tester la solution proposée. Tout autre suggestion sera la bienvenue

laster13

Bonsoir,

J'ai tenté de prendre un peu d'avance sur la version 1.26. Tout se déroule parfaitement bien conformément au tuto.. jusqu'à prewikka. Et notamment après avoir créer la base de donnée
La commande suivante

mysql -u prewikka prewikka -p < /usr/local/share/prewikka/database/mysql.sql

ne fonctionne pas et pour cause le dossier "database" ne s'est pas créé au moment de l'installation, qui par ailleurs semble s'être parfaitement bien déroulé sans erreurs apparentes.
Juste quelques dépendance python à installer par rapport à la version 1.2.5

pip install lesscpy
pip install python-dateutil

Peut être qu'il manque une autre dépendance

Une idée ?

« Page précédente Page suivante »