Pour ce tuto : http://mondedie.fr/d/5821 Si vous avez une question, une remarque ou une suggestion, n'hésitez pas à poster un commentaire sur ce topic.

Super tutoriel !! Merci Hardware maintenant avec Ossec je suis au Sec !!

Super Hardware Merci Dis pour la partie OSSEC Web User Interface tu aurais une idée pour ceux qui sont sous lighttpd ? J'ai essayé de voir sur le net mais après install du dossier /var/www/ossec-wui-0.3 puis script setup.sh je bloque. j'ai aussi le fichier ossec dans /var/www .

moi sur nginx sa marche pas Unable to access ossec directory. sinon ta fait une erreur pour l'installation du web ui de ossec

@boby31 > Regarde ce tutoriel : http://crunchbang.org/forums/d/14232 Il indique comment configurer lighttpd pour OssecWUI.

@Hardware j'ai tenté mais trop chaud pour mon niveau. j'arrivai plus a restart lighttpd. bon du coup je laisse sans webui

j'ai tenter de mettre ossec en sonde sa marche pas je pense qu'il faut installer prelude avant ossec et pour snort je pige rien mdr j'ai fait du gros bordel en plus avec les tuto donc je sais pas faut qu'on voit sa ensemble ^^ Modif de la nuit ba j'ai prelude qui marche plus du tout ^^ comment on le desinstalle ?

wget --header="User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:10.0) Gecko/20100101 Firefox/31.0" http://www.ossec.net/files/ossec-wui-0.8.tar.gz tar -xzf ossec-wui-0.8.tar.gz Bonsoir, comme on peut le voir sur le site de OSSEC ainsi que le GitHub , il existe une version 0.8 de la WebUI de OSSEC. Le tutoriel ne mentionne pas son existence. Ainsi je m'interroge, il y aurait une raison en particulier ? La version 0.3 serait préférable ? Une simple inconnue ? Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Par défaut, OSSEC me semble inactif sur ce point...

Petite erreur de ma part pour le numéro de version, je vais corriger ça de suite Wagner wrote: Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Injection d'url, c'est à dire ? Si tu parles des injections SQL et XSS, OSSEC prend en charge nativement ces deux types d'attaques avec les règles suivantes : <rule id="31103" level="6"> <if_sid>31100</if_sid> <url>=select%20|select+|insert%20|%20from%20|%20where%20|union%20|</url> <url>union+|where+|null,null|xp_cmdshell</url> <description>SQL injection attempt.</description> <group>attack,sql_injection,</group> </rule> <rule id="31105" level="6"> <if_sid>31100</if_sid> <url>%3Cscript|%3C%2Fscript|script>|script%3E|SRC=javascript|IMG%20|</url> <url>%20ONLOAD=|INPUT%20|iframe%20</url> <description>XSS (Cross Site Scripting) attempt.</description> <group>attack,</group> </rule> Je viens de faire un essai sur mon site web avec cette URL : /index.php?cat=articles&%20lid=-1%20UNION%20SELECT%200,username,userid,password J'ai été banni en moins de 4 secondes donc ça marche plutôt bien apparement

Ainsi, c'était juste une petite erreur de frappe, merci Hardware. request: "GET http://une.adresse.url 200 Voici un exemple, c'est extrait des logs de Nginx. Il ne s'agit pas d'injection SQL (ou XSS), juste une url (un nom de domaine). Parfois, c'est toujours la même. Avec Fail2Ban, ce type de tentatives ont un code d'erreur (404 etc). Avec OSSEC, c'est toujours le code 200. C'est la cause de cette impression... elle serait à tort ?

Les codes de statut du protocole HTTP sont déterminés uniquement par le serveur web. Si la ressource demandée par le client n'existe pas, le serveur web retourne systèmatiquement le code 404. OSSEC de son côté ne fait qu'analyser les logs du serveur web et prend une décision en fonction des règles contenues dans le répertoire /var/ossec/rules. Si un client génère une multitudes d'erreurs 404 pendant un laps de temps assez court, allors OSSEC bannira l'ip du client de manière temporaire simplement par prévention. Dans le cas d'un code de retour égal à 200 : request: "GET http://une.adresse.url 200..." c'est parfaitement normal qu'ossec ne réagisse pas car la requête a été traité avec succès par le serveur web, il n'y a donc pas d'action à entreprendre.

[Discussion] Sécuriser son serveur avec Ossec et Prelude : Page 8

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] Sécuriser son serveur avec Ossec et Prelude

Solinvictus

Attends les gros bras dans ce cas, qui sauront peut-être t'en dire plus.

beta15

Ok, mon fichier my.cnf fait appel a /var/run/mysqld/mysqld.sock, mais le fichier n’existe pas.

Hardware

Essaye de réinstaller MySQL, ça pourrait résoudre ton soucis.

beta15

Ok, je vais faire une sauvegarde de ma base de donnée. Le fichier c'est bien : var/lib/mysql ??

Hardware

Oui le répertoire c'est bien ça.

Luke34

Bonjour,

personne pour m'aider ? ==> http://mondedie.fr/d/5822/122

kolgate

Luke34 wrote:Bonjour,

personne pour m'aider ? ==> http://mondedie.fr/d/5822/122

Tu as essayé de le le autoriser avec les deux terminal.

Solinvictus

Hard, j'ai un souci récurrent via rainloop et je me fais ban.

Received From: OMG ->/var/log/nginx/access.log 
Rule: 31533 fired (level 10) -> "High amount of POST requests in a small period of time (likely bot)." 
Portion of the log(s): 

XX.XX.XX.XX - - [25/Feb/2015:15:02:25 +0100] "POST /?/Ajax/&s=/_4Y1VU39ywGzHiSM7yq5qkEut3agCjaLYrxrh3EJwf5S9YaLLNkgeGzrTLYDFP3yXM5b8OELPBbxTye4XKm0ROUSW9nnZNuh1_RqZhgnu4uv-i6NqdahYD4HDXYzfUbYezyv8HamihU7VLHSHj7WL5eIlcoo-nLV6ouRb5CwL7PmAvVfwOwHwcPQonMuAeDoG_oTWcACPi6cpz0cS5ivrMClgE_wZQTfnUPOYjDNrtzVgZ8IBfn3KavqGiOLPOGFvbSlEkA4c5z-SeyKvJkPVeeozSh4cPkCk69b_Z-1A0v3QwyRWMqiJ80usPb4PyoYiLKtJ9Bz8eQc./ HTTP/1.1" 200 119 "https://rainloop.justinbieber.pgm/" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/40.0.2214.115 Safari/537.36"

Si tu as une idée ? Sinon je vais déranker la règle pour ne pas être ban.

Hardware

Il suffit juste de modifier la règle en augmentant le nombre de requêtes POST par interval de temps. C'est indiqué dans le tuto d'Ossec.

Solinvictus

Je n'ai rien vu le mentionnant; Enfin, il y a bien la partie où tu traites d'un exemple te concernant.

Je vais augmenter le nombre par défaut. Merci.

zorrax

bonjour
merci pour ce tuto mais apres l'install de prelude et prewikka
impossible de se connecter sur l'interface
Access denied for user 'prelude'@'localhost' to database 'prewikka'

j'ai beau rechecker tout je vois pas l'erreur

Solinvictus

zorrax wrote:bonjour
merci pour ce tuto mais apres l'install de prelude et prewikka
impossible de se connecter sur l'interface
Access denied for user 'prelude'@'localhost' to database 'prewikka'

j'ai beau rechecker tout je vois pas l'erreur

Ne serait-ce pas :

'prelude'@'localhost' -> database 'prelude';

et :

'prewikka'@'localhost' -> database 'prewikka';

zorrax

cest ce que je comprends pas
en suivant ton tuto et en essayant de me connecter directement a l'adresse:8000
j'ai ce msg
j'avais bien vu que les deux users ne correspondaient pas

zorrax

ok no comment
je viens de corriger mon erreur
dsl pour le derangement

mais je continue avec mes erreurs

Traceback (most recent call last):
  File "/usr/local/lib/python2.7/dist-packages/prewikka/Core.py", line 386, in process
    request.content = template.respond()
  File "/usr/local/lib/python2.7/dist-packages/prewikka/templates/HTMLDocument.py", line 144, in respond
    _v = VFFSL(SL,"body",True) # u'$body' on line 21, col 9
  File "/usr/local/lib/python2.7/dist-packages/prewikka/templates/TopLayout.py", line 133, in body
    _v = VFFSL(SL,"toplayout_content",True) # u'$toplayout_content' on line 14, col 3
  File "/usr/local/lib/python2.7/dist-packages/prewikka/templates/LoginPasswordForm.py", line 97, in toplayout_content
    localization.setLocale(localization._DEFAULT_LANGUAGE)
  File "/usr/local/lib/python2.7/dist-packages/prewikka/localization.py", line 79, in setLocale
    locale.setlocale(locale.LC_ALL, "%s.%s" %(lang.encode('utf8'), str(_DEFAULT_ENCODING)))
  File "/usr/lib/python2.7/locale.py", line 547, in setlocale
    return _setlocale(category, locale)

Prewikka internal error
Error('unsupported locale setting',)

cest bon probleme resolu
je n'ai installé le local fr_FR.utf8

zorrax

autre probleme
lors de l'ajout de Prelude-Correlator je n'arrive pas a me connecter au prelude server surle port 5553
il me mets a chaque fois "connection refused"

Solinvictus

zorrax wrote:autre probleme
lors de l'ajout de Prelude-Correlator je n'arrive pas a me connecter au prelude server surle port 5553
il me mets a chaque fois "connection refused"

Remplace localhost par 127.0.0.1 dans la ligne pour ajouter la sonde.

zorrax

bonjour

quelques dernieres questions :
pour utiliser l'interface webui de ossec il y a le fichier ossec.conf a créer
mais que met-on a server-name ?
j'utilise une adresse https
comment faire en sorte que ossec passe aussi par https ?
merci d'avance

dixloq

Bonjour,

après avoir suivit le tuto, je bloque sur la partie du démarrage des services.
il se trouve que je ne peux démarrer le service prelude-manager et lml aprés avoir installé les 3 scripts init.d :

Comment puis je régler ce problème ?
Merci d'avance

adrianboker

Coucou Hardware !
Je suis passé sur Debian 8 et j'ai un soucis avec PRewikka quand je clique pour voir les sondes j'ai absolument rien et je ne vois pas les remontés d'informations pourtant ça marchait avant.
Et j'ai un jolie
root@ns326471:~# ----------------------------------------
Exception happened during processing of request from ('127.0.0.1', 39445)
Traceback (most recent call last):
File "/usr/lib/python2.7/SocketServer.py", line 599, in process_request_thread
self.finish_request(request, client_address)
File "/usr/lib/python2.7/SocketServer.py", line 334, in finish_request
self.RequestHandlerClass(request, client_address, self)
File "/usr/lib/python2.7/SocketServer.py", line 657, in __init__
self.finish()
File "/usr/lib/python2.7/SocketServer.py", line 716, in finish
self.wfile.close()
File "/usr/lib/python2.7/socket.py", line 279, in close
self.flush()
File "/usr/lib/python2.7/socket.py", line 303, in flush
self._sock.sendall(view[write_offset:write_offset+buffer_size])
error: [Errno 32] Relais brisé (pipe)
----------------------------------------
sur mon terminal.
Est-ce que tu peut m'aider s'il te plaît ?

adrianboker

adrianboker wrote:Coucou Hardware !
Je suis passé sur Debian 8 et j'ai un soucis avec PRewikka quand je clique pour voir les sondes j'ai absolument rien et je ne vois pas les remontés d'informations pourtant ça marchait avant.
Et j'ai un jolie
root@ns326471:~# ----------------------------------------
Exception happened during processing of request from ('127.0.0.1', 39445)
Traceback (most recent call last):
File "/usr/lib/python2.7/SocketServer.py", line 599, in process_request_thread
self.finish_request(request, client_address)
File "/usr/lib/python2.7/SocketServer.py", line 334, in finish_request
self.RequestHandlerClass(request, client_address, self)
File "/usr/lib/python2.7/SocketServer.py", line 657, in __init__
self.finish()
File "/usr/lib/python2.7/SocketServer.py", line 716, in finish
self.wfile.close()
File "/usr/lib/python2.7/socket.py", line 279, in close
self.flush()
File "/usr/lib/python2.7/socket.py", line 303, in flush
self._sock.sendall(view[write_offset:write_offset+buffer_size])
error: [Errno 32] Relais brisé (pipe)
----------------------------------------

Plus de problème il faillais juste redémarrer les services.
Je suis un peu perdu avec SystemD

sur mon terminal.
Est-ce que tu peut m'aider s'il te plaît ?

« Page précédente Page suivante »