Pour ce tuto : http://mondedie.fr/d/5821 Si vous avez une question, une remarque ou une suggestion, n'hésitez pas à poster un commentaire sur ce topic.

Super tutoriel !! Merci Hardware maintenant avec Ossec je suis au Sec !!

Super Hardware Merci Dis pour la partie OSSEC Web User Interface tu aurais une idée pour ceux qui sont sous lighttpd ? J'ai essayé de voir sur le net mais après install du dossier /var/www/ossec-wui-0.3 puis script setup.sh je bloque. j'ai aussi le fichier ossec dans /var/www .

moi sur nginx sa marche pas Unable to access ossec directory. sinon ta fait une erreur pour l'installation du web ui de ossec

@boby31 > Regarde ce tutoriel : http://crunchbang.org/forums/d/14232 Il indique comment configurer lighttpd pour OssecWUI.

@Hardware j'ai tenté mais trop chaud pour mon niveau. j'arrivai plus a restart lighttpd. bon du coup je laisse sans webui

j'ai tenter de mettre ossec en sonde sa marche pas je pense qu'il faut installer prelude avant ossec et pour snort je pige rien mdr j'ai fait du gros bordel en plus avec les tuto donc je sais pas faut qu'on voit sa ensemble ^^ Modif de la nuit ba j'ai prelude qui marche plus du tout ^^ comment on le desinstalle ?

wget --header="User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:10.0) Gecko/20100101 Firefox/31.0" http://www.ossec.net/files/ossec-wui-0.8.tar.gz tar -xzf ossec-wui-0.8.tar.gz Bonsoir, comme on peut le voir sur le site de OSSEC ainsi que le GitHub , il existe une version 0.8 de la WebUI de OSSEC. Le tutoriel ne mentionne pas son existence. Ainsi je m'interroge, il y aurait une raison en particulier ? La version 0.3 serait préférable ? Une simple inconnue ? Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Par défaut, OSSEC me semble inactif sur ce point...

Petite erreur de ma part pour le numéro de version, je vais corriger ça de suite Wagner wrote: Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Injection d'url, c'est à dire ? Si tu parles des injections SQL et XSS, OSSEC prend en charge nativement ces deux types d'attaques avec les règles suivantes : <rule id="31103" level="6"> <if_sid>31100</if_sid> <url>=select%20|select+|insert%20|%20from%20|%20where%20|union%20|</url> <url>union+|where+|null,null|xp_cmdshell</url> <description>SQL injection attempt.</description> <group>attack,sql_injection,</group> </rule> <rule id="31105" level="6"> <if_sid>31100</if_sid> <url>%3Cscript|%3C%2Fscript|script>|script%3E|SRC=javascript|IMG%20|</url> <url>%20ONLOAD=|INPUT%20|iframe%20</url> <description>XSS (Cross Site Scripting) attempt.</description> <group>attack,</group> </rule> Je viens de faire un essai sur mon site web avec cette URL : /index.php?cat=articles&%20lid=-1%20UNION%20SELECT%200,username,userid,password J'ai été banni en moins de 4 secondes donc ça marche plutôt bien apparement

Ainsi, c'était juste une petite erreur de frappe, merci Hardware. request: "GET http://une.adresse.url 200 Voici un exemple, c'est extrait des logs de Nginx. Il ne s'agit pas d'injection SQL (ou XSS), juste une url (un nom de domaine). Parfois, c'est toujours la même. Avec Fail2Ban, ce type de tentatives ont un code d'erreur (404 etc). Avec OSSEC, c'est toujours le code 200. C'est la cause de cette impression... elle serait à tort ?

Les codes de statut du protocole HTTP sont déterminés uniquement par le serveur web. Si la ressource demandée par le client n'existe pas, le serveur web retourne systèmatiquement le code 404. OSSEC de son côté ne fait qu'analyser les logs du serveur web et prend une décision en fonction des règles contenues dans le répertoire /var/ossec/rules. Si un client génère une multitudes d'erreurs 404 pendant un laps de temps assez court, allors OSSEC bannira l'ip du client de manière temporaire simplement par prévention. Dans le cas d'un code de retour égal à 200 : request: "GET http://une.adresse.url 200..." c'est parfaitement normal qu'ossec ne réagisse pas car la requête a été traité avec succès par le serveur web, il n'y a donc pas d'action à entreprendre.

[Discussion] Sécuriser son serveur avec Ossec et Prelude : Page 5

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] Sécuriser son serveur avec Ossec et Prelude

Hardware

Tiens : http://mondedie.fr/d/5861/3

Pierrick

Ah donc étant donné que l'audit est effectué par le même serveur, ça ne devrait pas poser de problèmes.

Merci pour la réponse.

EDIT: mon serveur a freezé et j'ai du le reboot.
Le problème, c'est qu'Ossec a l'air désormais de bloquer mes connexions SSH...
L'erreur suivant apparait: ssh_exchange_identification: read: Connection reset by peer

Auriez-vous une solution ?

EDIT2: mon IP se trouvait dans le fichier /etc/hosts.deny
Heureusement que j'avais installé Ajenti auparavant et que j'ai pu accéder à la console sinon j'étais bon pour une réinstallation...

Hardware

Nan t'inquiète, c'est pas un ban définitif, le host.deny aurait été mise à jour par Ossec après que le "bantime" se soit écoulé. Sinon dans le cas échéant, pas besoin de réinstaller, tu boot en mode rescue directement.

Ayenon

Merci ClubZero pour ton aide, ton astuce à marcher ! Je continue mon install grâce à toi

Pierrick

Hardware wrote:Nan t'inquiète, c'est pas un ban définitif, le host.deny aurait été mise à jour par Ossec après que le "bantime" se soit écoulé. Sinon dans le cas échéant, pas besoin de réinstaller, tu boot en mode rescue directement.

Ah ok.

C'est tout de même assez bizarre.

Ayenon

Encore merci Hardware pour ton tuto, ça marche vraiment bien !

Mais j'ai juste un problème avec l'interface d'ossec : c'est quoi l'identifiant ?
Car tous ce que j'ai mis termine en Web Server Error....

Wagner

auth_basic_user_file /etc/nginx/passwd/ossec.htpasswd;

Bonsoir,

l'identifiant c'est celui définit via ce fichier.

auth_basic_user_file /etc/nginx/passwd;

Ceci est extrait du tutoriel. Ainsi, je présume, l'erreur provient de la conf(ig) de Nginx. De mémoire, cette directive n'accepte qu'un fichier (le chemin complet) et non un dossier.

Hardware

Exact Wagner, en fait chez moi il s'agit d'un fichier (/etc/nginx/passwd) mais si tu as suivi le tuto de Magicalex, il faut effectivement préciser le chemin complet vers le fichier passwd.

Wagner

Donc, c'est bien un fichier. Je l'ai supposé mais j'en étais incertain. Vu le chemin et l'absence d'extension, j'ai présumé que Ayenon avait probablement pu se tromper sur ce point. Ainsi, j'ai opté de le clarifier.

Ayenon

Problème régler, c'était bien une mauvaise indication du fichier, je n’ai pas fait attention à ce détail... Merci Wagner et Hardware

Par contre j'aurais besoin d'un petit renseignement : j'ai vu sur le site de ossec qu'on pouvait l'installer sur un esxi. Et je voudrais savoir si c'est intéressant de e mettre, et je cherche aussi une solution de monitoring d'un esxi. Donc si vous connaissez quelque chose intéressant... Si vous pouviez m'éclairé

Wagner

Bien, de rien Ayenon

Et oui parfois c'est juste un petit détail.
Navré mais je ne serais le dire, ni en mesure d'éclairé sur ces points. C'est de l'inconnu et ce même avec quelques notions dans ces domaines...

Hardware

A ma connaissance, Ossec ne peut pas s'installer correctement sur une machine virtuelle au sein d'un environnement VMWare ESXi. Comme le précise la documentation d'Ossec, il faut centraliser les logs des VMs sur un autre serveur qui sera chargé de récupérer l'ensemble des données afin qu'elles soient traitées par l'agent via "remote syslog". Sinon comme Wagner, je connais mal cet environnement, l'ayant jamais pratiqué.

EDIT : Ossec prend en charge VMWare ESXi 4 par "remote syslog" uniquement, comme indiqué ici :
http://ossec-docs.readthedocs.org/en/latest/manual/supported-systems.html

Ayenon

Merci pour tes indications Hardware, j'avais vu que Ossec supporter que Esxi 4 mais comme je vais utiliser le 5.5 avoir un serveur secure

Je vais continuer mes recherches de l'outil parfait pour esxi

Merci à vous

kolgate

Malgrés la verification de la locales j'ai toujours sur prewikka :

Traceback (most recent call last):
  File "/usr/local/lib/python2.7/dist-packages/prewikka/Core.py", line 386, in process
    request.content = template.respond()
  File "/usr/local/lib/python2.7/dist-packages/prewikka/templates/HTMLDocument.py", line 144, in respond
    _v = VFFSL(SL,"body",True) # u'$body' on line 21, col 9
  File "/usr/local/lib/python2.7/dist-packages/prewikka/templates/TopLayout.py", line 133, in body
    _v = VFFSL(SL,"toplayout_content",True) # u'$toplayout_content' on line 14, col 3
  File "/usr/local/lib/python2.7/dist-packages/prewikka/templates/LoginPasswordForm.py", line 97, in toplayout_content
    localization.setLocale(localization._DEFAULT_LANGUAGE)
  File "/usr/local/lib/python2.7/dist-packages/prewikka/localization.py", line 79, in setLocale
    locale.setlocale(locale.LC_ALL, "%s.%s" %(lang.encode('utf8'), str(_DEFAULT_ENCODING)))
  File "/usr/lib/python2.7/locale.py", line 547, in setlocale
    return _setlocale(category, locale)
Error: unsupported locale setting

Pourtant :

root@www:/tmp/prewikka-1.2.5# locale -a
C
C.UTF-8
POSIX
fr_FR
fr_FR.iso88591
fr_FR.iso885915@euro
fr_FR.utf8
fr_FR@euro
français
french

Et fr-FR.utf8 est bien par defaut ou je sais pas m'y prendre j'ai fait au moins trois fois dpkg-reconfigure locales mais sans succès...

corentin80

bonjour petit soucis dès le début du tuto :

 wget https://www.prelude-ids.org/attachments/download/351/libprelude-1.2.5.tar.gz
--2015-01-16 15:40:03--  https://www.prelude-ids.org/attachments/download/351/libprelude-1.2.5.tar.gz
Resolving www.prelude-ids.org (www.prelude-ids.org)... 195.154.217.136
Connecting to www.prelude-ids.org (www.prelude-ids.org)|195.154.217.136|:443... connected.
ERROR: The certificate of `www.prelude-ids.org' is not trusted.
The certificate's owner does not match hostname `www.prelude-ids.org'

du coup ça ne télécharge rien

tu as une solution?

kolgate

Solution a la macgyver tu le télécharge et tu l'upload sur ton serveur

jbnitro

le site a changé je crois

https://www.prelude-siem.org/attachments/download/351/libprelude-1.2.5.tar.gz

Hardware

Oui le certificat SSL fait maintenant référence à prelude-siem.org, je vais mettre à jour le tuto.

corentin80

merci

gafish

Bonjour,

C'est ma première intervention sur ce forum.
Je viens de faire l'installation de prélude (manager, lml, prewikka, installation des sondes...). Déjà un grand bravo pour ce tuto très complet et très bien fait. L'idée dans notre cas est d'identifier déjà pour une remontée dans Nagios les erreurs httpd (via le ruleset httpd donc).
Je rencontre malgré tout un problème.
Tout semble bien installé, les services (prelude-manager, prelude-lml, prelude-correlator et prewikka) tournent. Je vois bien sur Prewikka dans agents mes 3 services online. Le paramétrage a été fait. Je force une première fois une erreur PHP, j'ai bien une remontée dans les alertes (web server error remontée par l'analyseur httpd). Jusque là impec donc car c'est exactement ce que nous souhaitons.
Par contre, j'ai bien générer d'autres erreurs ensuite (que je vois passer dans le error log apache), rien ne se passe. Même si je delete ou marque en succeded l'erreur en question, rien ne m'est remonté.
Savez vous à quoi peut être du le souci ?

Autre chose, nous avons mis en place le plugin check_predule.pl pour Nagios, mais qui remonte toujours Ok, même lorsque l'erreur était affichée dans Prewikka.

Merci d'avance pour toute l'aide qui pourrait nous aider à résoudre notre souci. Je continue à analyser le problème.

Cordialement

« Page précédente Page suivante »