Pour ce tuto : http://mondedie.fr/d/5821 Si vous avez une question, une remarque ou une suggestion, n'hésitez pas à poster un commentaire sur ce topic.

Super tutoriel !! Merci Hardware maintenant avec Ossec je suis au Sec !!

Super Hardware Merci Dis pour la partie OSSEC Web User Interface tu aurais une idée pour ceux qui sont sous lighttpd ? J'ai essayé de voir sur le net mais après install du dossier /var/www/ossec-wui-0.3 puis script setup.sh je bloque. j'ai aussi le fichier ossec dans /var/www .

moi sur nginx sa marche pas Unable to access ossec directory. sinon ta fait une erreur pour l'installation du web ui de ossec

@boby31 > Regarde ce tutoriel : http://crunchbang.org/forums/d/14232 Il indique comment configurer lighttpd pour OssecWUI.

@Hardware j'ai tenté mais trop chaud pour mon niveau. j'arrivai plus a restart lighttpd. bon du coup je laisse sans webui

j'ai tenter de mettre ossec en sonde sa marche pas je pense qu'il faut installer prelude avant ossec et pour snort je pige rien mdr j'ai fait du gros bordel en plus avec les tuto donc je sais pas faut qu'on voit sa ensemble ^^ Modif de la nuit ba j'ai prelude qui marche plus du tout ^^ comment on le desinstalle ?

wget --header="User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:10.0) Gecko/20100101 Firefox/31.0" http://www.ossec.net/files/ossec-wui-0.8.tar.gz tar -xzf ossec-wui-0.8.tar.gz Bonsoir, comme on peut le voir sur le site de OSSEC ainsi que le GitHub , il existe une version 0.8 de la WebUI de OSSEC. Le tutoriel ne mentionne pas son existence. Ainsi je m'interroge, il y aurait une raison en particulier ? La version 0.3 serait préférable ? Une simple inconnue ? Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Par défaut, OSSEC me semble inactif sur ce point...

Petite erreur de ma part pour le numéro de version, je vais corriger ça de suite Wagner wrote: Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Injection d'url, c'est à dire ? Si tu parles des injections SQL et XSS, OSSEC prend en charge nativement ces deux types d'attaques avec les règles suivantes : <rule id="31103" level="6"> <if_sid>31100</if_sid> <url>=select%20|select+|insert%20|%20from%20|%20where%20|union%20|</url> <url>union+|where+|null,null|xp_cmdshell</url> <description>SQL injection attempt.</description> <group>attack,sql_injection,</group> </rule> <rule id="31105" level="6"> <if_sid>31100</if_sid> <url>%3Cscript|%3C%2Fscript|script>|script%3E|SRC=javascript|IMG%20|</url> <url>%20ONLOAD=|INPUT%20|iframe%20</url> <description>XSS (Cross Site Scripting) attempt.</description> <group>attack,</group> </rule> Je viens de faire un essai sur mon site web avec cette URL : /index.php?cat=articles&%20lid=-1%20UNION%20SELECT%200,username,userid,password J'ai été banni en moins de 4 secondes donc ça marche plutôt bien apparement

Ainsi, c'était juste une petite erreur de frappe, merci Hardware. request: "GET http://une.adresse.url 200 Voici un exemple, c'est extrait des logs de Nginx. Il ne s'agit pas d'injection SQL (ou XSS), juste une url (un nom de domaine). Parfois, c'est toujours la même. Avec Fail2Ban, ce type de tentatives ont un code d'erreur (404 etc). Avec OSSEC, c'est toujours le code 200. C'est la cause de cette impression... elle serait à tort ?

Les codes de statut du protocole HTTP sont déterminés uniquement par le serveur web. Si la ressource demandée par le client n'existe pas, le serveur web retourne systèmatiquement le code 404. OSSEC de son côté ne fait qu'analyser les logs du serveur web et prend une décision en fonction des règles contenues dans le répertoire /var/ossec/rules. Si un client génère une multitudes d'erreurs 404 pendant un laps de temps assez court, allors OSSEC bannira l'ip du client de manière temporaire simplement par prévention. Dans le cas d'un code de retour égal à 200 : request: "GET http://une.adresse.url 200..." c'est parfaitement normal qu'ossec ne réagisse pas car la requête a été traité avec succès par le serveur web, il n'y a donc pas d'action à entreprendre.

[Discussion] Sécuriser son serveur avec Ossec et Prelude : Page 7

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] Sécuriser son serveur avec Ossec et Prelude

Ayenon

Pour les prérequis :
Installe "build-essential" et d'autre utilitaires via apt qui te regroupe un concentrer des petits soft indispensable pour compiler :

aptitude install build-essential binutils cpp gcc make psmisc linux-headers-$(uname -r)

Luke34

Bonjour,

tout d'abord merci pour ce tutoriel, tout est expliqué pas à pas c'est franchement top...
Mais je viens à vous parce que je rencontre un soucis avec prelude, je me suis arrêté à l'optimisation de la base de données car je n'ai que 2 agents dans prewikka, j'ai vérifié deux fois les fichiers de conf au cas ou je me serais trompé dans les config, mais non tout est bien paramétré, l'agent qu'il me manque est prelude-correlator, je n'ai eu aucunes erreurs pendant son installation et lors de son start, je ne comprends pas trop.

Merci d'avance pour votre réponse

corentin80

@Kolgate,

# vim /usr/local/etc/prewikka/prewikka.conf

# ATTENTION : Pour que prewikka soit en français, votre système doit avoir le pack de langue fr_FR.utf8
# Vous pouvez le vérifier avec la commande : locale -a
# Si ce n'est pas le cas, utilisez la commande
# dpkg-reconfigure locales et ajoutez les packs suivants :
# - fr_FR
# - fr_FR@euro
# - fr_FR.utf8
default_locale: fr_FR <--- à décommenter
encoding: utf8 <--- à décommenter

je pense que tu as du zapper ça.

kolgate

corentin80 wrote:@Kolgate,

# vim /usr/local/etc/prewikka/prewikka.conf

# ATTENTION : Pour que prewikka soit en français, votre système doit avoir le pack de langue fr_FR.utf8
# Vous pouvez le vérifier avec la commande : locale -a
# Si ce n'est pas le cas, utilisez la commande
# dpkg-reconfigure locales et ajoutez les packs suivants :
# - fr_FR
# - fr_FR@euro
# - fr_FR.utf8
default_locale: fr_FR <--- à décommenter
encoding: utf8 <--- à décommenter

je pense que tu as du zapper ça.

Malheureusement non.

corentin80

J'avais eu le tour c'était a cause de ca

kolgate

Trouvé enfin c'était mon fichier de conf prewikka j'ecraser tout le contenu par celui du tuto et ça merder j'ai juste modifier les ligne et tout roule.
Par contre j'ai fait mon boulet y a moyen d'écraser le mot de passe admin de prewikka je sais plus celui que j'ai mis.

corentin80

Le mot de passe admin de prewikka c'est dans le fichier prewikka.conf que tu le mets.

kolgate

Même après l'avoir changé dans le site

corentin80

Ah ça je ne sais pas. Au pire tu désinstalles prewikka et tu le reinstalles.

beta15

Salut,

J'ai une erreur dans mysql :

login as: root
root@149.91.83.230's password:
root@server:~# service mysql status
[info] MySQL is stopped..
root@server:~# mysql -u root -p
Enter password:
ERROR 2002 (HY000): Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (2)
root@server:~#

Une idée ?

Solinvictus

Il semble arrêté, d'où l'impossibilité de s'y connecter. Tu as essayé de relancer le service ?

beta15

Oui mais failed ! J'ai essayer créer un nouveau fichier var/run/mysqld/mysqld.sock mais toujours rien.

Solinvictus

Regarde dans les logs :

cat /var/log/mysql.error
cat /var/log/mysql.log

beta15

Les deux fichiers sont vides ...

Solinvictus

Mysql fonctionnait auparavant ?

beta15

Oui oui j'ai suivi le tutoriel et quand j'ai essayer de me connecter, j'ai eu l'erreur.

Solinvictus

beta15 wrote:Oui oui j'ai suivi le tutoriel et quand j'ai essayer de me connecter, j'ai eu l'erreur.

Cette commande :

/etc/init.d/mysql status

Te renvoie quoi ?

Jette un coup d'oeil à ça également :

http://stackoverflow.com/questions/11657829/error-2002-hy000-cant-connect-to-local-mysql-server-through-socket-var-run

beta15

Elle me retourne fail :

root@server:~# /etc/init.d/mysql status
[info] MySQL is stopped..
root@server:~# /etc/init.d/mysql start
[FAIL] Starting MySQL database server: mysqld . . . . . . . . . . . . . . failed!
root@server:~#

Solinvictus

beta15 wrote:Elle me retourne fail :

root@server:~# /etc/init.d/mysql status
[info] MySQL is stopped..
root@server:~# /etc/init.d/mysql start
[FAIL] Starting MySQL database server: mysqld . . . . . . . . . . . . . . failed!
root@server:~#

Vérifie les points du lien que je t'ai donné.

beta15

Solinvictus wrote:
beta15 wrote:Elle me retourne fail :
root@server:~# /etc/init.d/mysql status
[info] MySQL is stopped..
root@server:~# /etc/init.d/mysql start
[FAIL] Starting MySQL database server: mysqld . . . . . . . . . . . . . . failed!
root@server:~#
Vérifie les points du lien que je t'ai donné.

J'ai déplacer /etc/mysql/my.cnf , dans /etc/my.cnf, relancer le serveur mais toujours la même erreur.

« Page précédente Page suivante »