Pour ce tuto : http://mondedie.fr/d/5821 Si vous avez une question, une remarque ou une suggestion, n'hésitez pas à poster un commentaire sur ce topic.

Super tutoriel !! Merci Hardware maintenant avec Ossec je suis au Sec !!

Super Hardware Merci Dis pour la partie OSSEC Web User Interface tu aurais une idée pour ceux qui sont sous lighttpd ? J'ai essayé de voir sur le net mais après install du dossier /var/www/ossec-wui-0.3 puis script setup.sh je bloque. j'ai aussi le fichier ossec dans /var/www .

moi sur nginx sa marche pas Unable to access ossec directory. sinon ta fait une erreur pour l'installation du web ui de ossec

@boby31 > Regarde ce tutoriel : http://crunchbang.org/forums/d/14232 Il indique comment configurer lighttpd pour OssecWUI.

@Hardware j'ai tenté mais trop chaud pour mon niveau. j'arrivai plus a restart lighttpd. bon du coup je laisse sans webui

j'ai tenter de mettre ossec en sonde sa marche pas je pense qu'il faut installer prelude avant ossec et pour snort je pige rien mdr j'ai fait du gros bordel en plus avec les tuto donc je sais pas faut qu'on voit sa ensemble ^^ Modif de la nuit ba j'ai prelude qui marche plus du tout ^^ comment on le desinstalle ?

wget --header="User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:10.0) Gecko/20100101 Firefox/31.0" http://www.ossec.net/files/ossec-wui-0.8.tar.gz tar -xzf ossec-wui-0.8.tar.gz Bonsoir, comme on peut le voir sur le site de OSSEC ainsi que le GitHub , il existe une version 0.8 de la WebUI de OSSEC. Le tutoriel ne mentionne pas son existence. Ainsi je m'interroge, il y aurait une raison en particulier ? La version 0.3 serait préférable ? Une simple inconnue ? Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Par défaut, OSSEC me semble inactif sur ce point...

Petite erreur de ma part pour le numéro de version, je vais corriger ça de suite Wagner wrote: Autrement, je souhaiterais savoir comment faudrait-il procéder avec OSSEC afin de bannir l'émetteur d'une requête visant l'injection d'url ? Injection d'url, c'est à dire ? Si tu parles des injections SQL et XSS, OSSEC prend en charge nativement ces deux types d'attaques avec les règles suivantes : <rule id="31103" level="6"> <if_sid>31100</if_sid> <url>=select%20|select+|insert%20|%20from%20|%20where%20|union%20|</url> <url>union+|where+|null,null|xp_cmdshell</url> <description>SQL injection attempt.</description> <group>attack,sql_injection,</group> </rule> <rule id="31105" level="6"> <if_sid>31100</if_sid> <url>%3Cscript|%3C%2Fscript|script>|script%3E|SRC=javascript|IMG%20|</url> <url>%20ONLOAD=|INPUT%20|iframe%20</url> <description>XSS (Cross Site Scripting) attempt.</description> <group>attack,</group> </rule> Je viens de faire un essai sur mon site web avec cette URL : /index.php?cat=articles&%20lid=-1%20UNION%20SELECT%200,username,userid,password J'ai été banni en moins de 4 secondes donc ça marche plutôt bien apparement

Ainsi, c'était juste une petite erreur de frappe, merci Hardware. request: "GET http://une.adresse.url 200 Voici un exemple, c'est extrait des logs de Nginx. Il ne s'agit pas d'injection SQL (ou XSS), juste une url (un nom de domaine). Parfois, c'est toujours la même. Avec Fail2Ban, ce type de tentatives ont un code d'erreur (404 etc). Avec OSSEC, c'est toujours le code 200. C'est la cause de cette impression... elle serait à tort ?

Les codes de statut du protocole HTTP sont déterminés uniquement par le serveur web. Si la ressource demandée par le client n'existe pas, le serveur web retourne systèmatiquement le code 404. OSSEC de son côté ne fait qu'analyser les logs du serveur web et prend une décision en fonction des règles contenues dans le répertoire /var/ossec/rules. Si un client génère une multitudes d'erreurs 404 pendant un laps de temps assez court, allors OSSEC bannira l'ip du client de manière temporaire simplement par prévention. Dans le cas d'un code de retour égal à 200 : request: "GET http://une.adresse.url 200..." c'est parfaitement normal qu'ossec ne réagisse pas car la requête a été traité avec succès par le serveur web, il n'y a donc pas d'action à entreprendre.

[Discussion] Sécuriser son serveur avec Ossec et Prelude : Page 9

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Discussion] Sécuriser son serveur avec Ossec et Prelude

Kev972

Bonjour à tous,

J'aurai besoin de votre aide s'il vous plaît.
Je suis bloquer au niveau de l'installation de libprelude 1.2.5. sur debian 8.0.
Quand je tape "make", j'obtiens les messages d'erreurs suivants :

Makefile:335: recipe for target 'Prelude.o' failed
make[5]: *** [Prelude.o] Error 1
make[5]: Leaving directory '/home/keke/prelude/libprelude-1.2.5/bindings/low-level/perl'
Makefile:1930: recipe for target 'perl-build' failed
make[4]: *** [perl-build] Error 2
make[4]: Leaving directory '/home/keke/prelude/libprelude-1.2.5/bindings/low-level'
Makefile:1605: recipe for target 'all-recursive' failed
make[3]: *** [all-recursive] Error 1
make[3]: Leaving directory '/home/keke/prelude/libprelude-1.2.5/bindings/low-level'
Makefile:1609: recipe for target 'all-recursive' failed
make[2]: *** [all-recursive] Error 1
make[2]: Leaving directory '/home/keke/prelude/libprelude-1.2.5/bindings'
Makefile:1764: recipe for target 'all-recursive' failed
make[1]: *** [all-recursive] Error 1
make[1]: Leaving directory '/home/keke/prelude/libprelude-1.2.5'
Makefile:1627: recipe for target 'all' failed
make: *** [all] Error 2

De plus, je n'ai pas pu installer le paquet libgnutls-dev donc j'ai installé libgnutls28-dev à la place.
Je vous remercie d'avance.

Hardware

@Kev972 et adrianboker : Depuis le passage à Jessie, quelques problèmes sont apparus dans le tuto, chez moi c'est prewikka qui ne fonctionne plus. Je vais prendre le temps de mettre à jour le tuto et essayer de garder la compatibilité avec Wheezy. Je vous tiendrais au courant des modifications à effectuer sous Jessie.

Solinvictus

Hardware, c'est ce que je te disais dès les premiers jours de la disponibilité de Jessie, il y a quelques dysfonctionnements. Pour ma part, si je reboot, il faut que je redémarre les services manuellement. Je ne pense pas avoir rencontré d'autres soucis.

Kev972

Ok merci Hardware

adrianboker

Solinvictus wrote:Hardware, c'est ce que je te disais dès les premiers jours de la disponibilité de Jessie, il y a quelques dysfonctionnements. Pour ma part, si je reboot, il faut que je redémarre les services manuellement. Je ne pense pas avoir rencontré d'autres soucis.

Coucou
Pour le paquet libgnutls-dev dans le tuto il faut utiliser libgnutls28-dev à la place
Et oui j'ai aussi le problème des services qui ne veulent pas redémarrer.
Sinon je n'ai rien vu d'autre pour l'instant.

adrianboker

adrianboker wrote:
Solinvictus wrote:Hardware, c'est ce que je te disais dès les premiers jours de la disponibilité de Jessie, il y a quelques dysfonctionnements. Pour ma part, si je reboot, il faut que je redémarre les services manuellement. Je ne pense pas avoir rencontré d'autres soucis.
Coucou
Pour le paquet libgnutls-dev dans le tuto il faut utiliser libgnutls28-dev à la place
Et oui j'ai aussi le problème des services qui ne veulent pas redémarrer.
Sinon je n'ai rien vu d'autre pour l'instant.

Ha ba si
/usr/bin/ld: cannot find -lgcrypt
collect2: error: ld returned 1 exit status
Makefile:22: recipe for target 'logaudit' failed
make[1]: *** [logaudit] Error 1
make[1]: Leaving directory '/tmp/ossec-hids-2.8.1/src/analysisd'

Error Making analysisd
Makefile:38: recipe for target 'all' failed
make: *** [all] Error 1

Error 0x5.
Erreur de compilation. Impossible de finir l'installation.

Lors de la compilation de Ossec. (le paquet libgcrypt20 serais en faute ici)

Gravefield

Hello,

J'ai un petit soucis quand je redémarre, PreludeCorrelator.main mets 20min à "se charger". Et comme je redémarre souvent (bah oui, je fais des tests j'essaie d'apprendre ^^), c'est un peu embêtant.

Est-ce qu'il-y-a possibilité de résoudre cela?

Voici ce que j'ai au démarrage :

[...] starting prelude-correlator : prelude-correlator05 junde 09:57:38 PreludeCorrelator.pluginmanager (pid:3167) INFO: [firewallPlugin}: desabled on user request
05 Jun 09:57:39 PreludeCorrelator.pluginmanager (pid:3167) INFO: [BusinessHourPlugin]: disabled on user request
05 Jun 10:17:26 preludeCorrelator.main (pid:3167) INFO: 8 plugins have been loaded.
. OK
  failed!

Désolé pour la qualité ^^ je ne sais pas capturer l'écran ^^

Infos :raspberry pi b+ - Debian Wheezy 7.8 kernel 3.18.11+ (armv61)

Kev42

Dans le cadre d'une simple seedbox / proxy / vpn over skilled VS fail2ban ?

Hardware

Une nouvelle mise à jour est arrivée aujourd'hui (2.8.2), elle corrige la vulnérabilité CVE-2015-3222.
La dernière version est disponible dans le dépôt officiel : https://github.com/ossec/ossec-hids/archive/2.8.2.tar.gz

cd /tmp
wget https://github.com/ossec/ossec-hids/archive/2.8.2.tar.gz
tar xzf 2.8.2.tar.gz
cd ossec-hids-2.8.2/

# Si prelude est installé 
cd src && make setprelude && cd ..

# Deux librairies dev sont nécessaires pour la compilation (sous debian 8.1 en tout cas)
apt-get install libgcrypt20-dev libgnutls28-dev

# Installation
./install.sh

Répondre 'Oui' à ces deux questions :

- You already have OSSEC installed. Do you want to update it? (y/n): y
- Do you want to update the rules? (y/n): y

Enjoy

Solinvictus

Suite à la mise jour d'Ossec, et malgré les corrections apportées à spamassassin pour coller avec Debian 8, je continue d'avoir un rapport comme suit :

Received From: xxx->/var/log/syslog
Rule: 1002 fired (level 2) -> "Unknown problem somewhere in the system."
Portion of the log(s):

Jun 11 21:02:48 xxx spamc[26706]: connect to spamd on ::1 failed, retrying (#1 of 3): Connection refused

Tu as une idée Hard ?

edit1: ça semble résolu en redémarrant les services et en les migrant vers systemctl, comme l'indique le tuto.

edit : La mise à jour d'ossec à virer quasiment tous les réglages de mes *.rules ☹

-----------------------------------------------------------------------------------------------------------------------

Replopiplop

J'ai un soucis avec ossec Web UI, lorsque j'utilise la fonction "Search" cf. le rapport :

OSSEC HIDS Notification.
2015 Jun 12 13:56:16

Received From: xxx->/var/log/nginx/error.log
Rule: 31412 fired (level 5) -> "PHP internal error (missing file)."
Portion of the log(s):

2015/06/12 13:56:15 [error] 2845#0: *229 FastCGI sent in stderr: "PHP message: PHP Warning: fopen(./tmp/output-tmp.1-0-e47b9c7a7a8b0b271420c625df0129f3.php): failed to open stream: No such file or directory in /var/www/ossec/lib/os_lib_alerts.php on line 39" while reading upstream, client: 159.8.200.28, server: ossec.domain.tld, request: "POST /index.php?f=s HTTP/1.1", upstream: "fastcgi://unix:/var/run/php5-fpm.sock:", host: "ossec.domain.tld", referrer: "https://ossec.domain.tld/index.php?f=s"

Si je regarde à ligne correspondante, dans ce fichier, j'ai ça :

/* Opening output file */
$fp = fopen($out_file, "w");
if(!$fp) {
return(NULL);
}
fwrite( $fp, $alert_list->toHTML() );
}

One idea ?

fredus

Salut tout le monde , super tuto !

Petit soucis, j'arrive pas à enregistrer un agent Prelude distant,
en local pas de problème mais sur une autre machine, impossible.

Poutant tout a l'air de bien ce passer, coté serveur

/usr/src# prelude-admin registration-server prelude-manager
The "0g15kz45" password will be requested by "prelude-admin register"
in order to connect. Please remove the quotes before using it.

Generating 1024 bits Diffie-Hellman key for anonymous authentication...
Waiting for peers install request on 0.0.0.0:5553...
Waiting for peers install request on :::5553...

Connection from 192.168.112.73:38322...
Registration request for analyzerID="3960094425861313" permission="idmef:rw admin:r".
Approve registration? [y/n]: y
192.168.112.73:38322 successfully registered.

coté client :

# prelude-admin registerclient-distant "idmef:rw admin:r"  --uid 0 --gid 0 192.168.1.23
Generating 2048 bits RSA private key... This might take a very long time.
[Increasing system activity will speed-up the process].
Generation in progress... .....+++++O..+++++O


You now need to start "prelude-admin" registration-server on 192.168.1.23:
example: "prelude-admin registration-server prelude-manager"

Enter the one-shot password provided on 192.168.1.23: 
Confirm the one-shot password provided on 192.168.1.23: 

Connecting to registration server (192.168.1.23:5553)... Authentication succeeded.
Successful registration to 192.168.1.23:5553.

Pourtant, j'ai rien coté serveur

 prelude-admin list
Profile            Permission       Issuer AnalyzerID
-----------------------------------------------------
client-local              idmef:rw admin:r 2243619335515698
prelude-admin      n/a              n/a
prelude-lml        idmef:rw admin:r 2243619335515698
prelude-correlator idmef:rw admin:r 2243619335515698
ossec              idmef:w admin:r  887973038350182
prelude-manager    n/a              n/a

Et c'est la ou j'ai du louper un épisode, il apparaît coté client ! :

# prelude-admin list
Profile       Permission       Issuer AnalyzerID
------------------------------------------------
client-distant    idmef:rw admin:r 2243619335515698
prelude-admin n/a              n/a

Quelqu'un peut-il m'éclairer ?

Hardware

C'est normal, il apparaitra uniquement côté client mais sera reconnu par Prewikka.

fredus

mais j'arrive pas à lancer barnyard2

 barnyard2 -c /usr/local/etc/snort/barnyard2.conf -d /var/log/snort -f snortprel.log -a /var/log/snort/archived
Running in Continuous mode

        --== Initializing Barnyard2 ==--
Initializing Input Plugins!
Initializing Output Plugins!
Parsing config file "/usr/local/etc/snort/barnyard2.conf"


+[ Signature Suppress list ]+
----------------------------
+[No entry in Signature Suppress List]+
----------------------------
+[ Signature Suppress list ]+

Barnyard2 spooler: Event cache size set to [2048] 
Log directory = /var/log/barnyard2
ERROR: prelude-client: Unable to initialize prelude client: could not open '/etc/prelude/default/global.conf' for reading: No such file or directory

Profile 'client-distant' does not exist. In order to create it, please run:
prelude-admin register "client-distant" "idmef:w" <manager address> --uid 0 --gid 0.
Fatal Error, Quitting..
Barnyard2 exiting

et quand je copie les fichiers /etc/prelude/default/* sur le client j'ai

barnyard2 -c /usr/local/etc/snort/barnyard2.conf -d /var/log/snort -f snortprel.log -a /var/log/snort/archived
Running in Continuous mode

        --== Initializing Barnyard2 ==--
Initializing Input Plugins!
Initializing Output Plugins!
Parsing config file "/usr/local/etc/snort/barnyard2.conf"


+[ Signature Suppress list ]+
----------------------------
+[No entry in Signature Suppress List]+
----------------------------
+[ Signature Suppress list ]+

Barnyard2 spooler: Event cache size set to [2048] 
Log directory = /var/log/barnyard2
Erreur de segmentation

Hardware

Pour la première erreur c'est normal vu qu'il va pas chercher les fichiers de configuration au bon endroit, pour l'erreur "segmentation fault", ouvre un ticket ici https://github.com/firnsy/barnyard2/issues si tu penses que ça vient pas de ton installation, de plus le tutoriel ne traite pas tout de Snort.

fredus

effectivement c'est la compilation de barnyard2 sous Jessie qui a eu un problème,
j'ai essayé sur un autre serveur ca marche impec.

Merci !!!

Gravefield

J'essaie de mettre au sec mon petit serveur sous debian 8. Mais je rencontre des erreurs à la compilation de Libprelude.

checking for LIBGCRYPT - version >= 1.1.94... no
configure: error:
***
*** libgcrypt was not found. You may want to get it from
*** ftp://ftp.gnupg.org/gcrypt/libgcrypt/
***

J'ai essayé en installant le paquet (je ne sais pas si c'est le bon terme) suivant :

apt-get install libgcrypt20-dev

Mais maintenant j'ai ça :

checking for LIBGCRYPT - version >= 1.1.94... yes (1.6.3)
checking LIBGCRYPT API version... okay
/usr/bin/libgcrypt-config: line 157: dpkg-architecture: command not found
configure: WARNING:
***
*** The config script /usr/bin/libgcrypt-config was
*** built for x86_64-pc-linux-gnu and thus may not match the
*** used host x86_64-unknown-linux-gnu.
*** You may want to use the configure option --with-libgcrypt-prefix
*** to specify a matching config script.
***
checking for struct sockaddr_in6... yes
checking whether AF_INET6 is declared... yes
checking whether variadic macros are supported... yes
checking if pointers to integers require aligned access... no
checking for an implementation of va_copy()... yes
checking for an implementation of __va_copy()... yes
checking whether va_lists can be copied by value... no
checking for swig... /usr/bin/swig
checking for perl... /usr/bin/perl
checking EXTERN.h usability... yes
checking EXTERN.h presence... yes
checking for EXTERN.h... yes
checking for perl.h... yes
checking for python2.7... /usr/bin/python2.7
checking Python.h usability... yes
checking Python.h presence... yes
checking for Python.h... yes
checking for ruby... no
checking for ruby1.8... no
checking for ruby1.7... no
checking for ruby1.6... no
checking for g++... no
configure: error: Easybindings require a C++ compiler, but none were found.

Alors apparemment ce que j'ai installé n'est pas compatible avec le pross? Et il me manque un compilateur.
Que faire docteur? ^^

Solinvictus

Tu peux tenter un :

 apt-get install build-essential

apt-get install g++

Gravefield

Oki donc en rajoutant

apt-get install libgcrypt20-dev
apt-get install build-essential

Je parviens à avoir :

*** Dumping configuration ***
    - Generate documentation   : no
    - LUA binding              : no
    - Perl binding             : yes
    - Python binding           : yes
    - Ruby binding             : no
    - Easy bindings            : yes

Super je continue.

Merci Solinvictus pour ton aide

Edit :
Je n'arrive pas à compiler :

Prelude.c:60064:9: note: in expansion of macro ‘XPUSHs’
         XPUSHs(&PL_sv_undef);
         ^
Makefile:335: recipe for target 'Prelude.o' failed
make[5]: *** [Prelude.o] Error 1
make[5]: Leaving directory '/tmp/libprelude-1.2.5/bindings/low-level/perl'
Makefile:1930: recipe for target 'perl-build' failed
make[4]: *** [perl-build] Error 2
make[4]: Leaving directory '/tmp/libprelude-1.2.5/bindings/low-level'
Makefile:1605: recipe for target 'all-recursive' failed
make[3]: *** [all-recursive] Error 1
make[3]: Leaving directory '/tmp/libprelude-1.2.5/bindings/low-level'
Makefile:1609: recipe for target 'all-recursive' failed
make[2]: *** [all-recursive] Error 1
make[2]: Leaving directory '/tmp/libprelude-1.2.5/bindings'
Makefile:1764: recipe for target 'all-recursive' failed
make[1]: *** [all-recursive] Error 1
make[1]: Leaving directory '/tmp/libprelude-1.2.5'
Makefile:1627: recipe for target 'all' failed
make: *** [all] Error 2

Je pense qu'il y a un soucis à l'étape de configuration de la compilation.

# ./configure --without-lua --with-python=/usr/bin/python2.7

./configure: line 10200: /usr/bin/file: No such file or directory
configure: WARNING:
***
*** The config script /usr/bin/libgcrypt-config was
[b]*** built for x86_64-pc-linux-gnu and thus may not match the
*** used host x86_64-unknown-linux-gnu.[/b]
*** You may want to use the configure option --with-libgcrypt-prefix
*** to specify a matching config script.
***

Le résultat de la commande en entier.

Le problème est que le serveur n'a pas la même architecture, le processeur est un atom : Intel(R) Atom(TM) CPU N2800 @ 1.86GHz.

Wonderfall

VDD, essaie avec --without-perl si ce n'est pas déjà fait.

Mon problème est un peu plus compliqué, en effet tout est installé, j'ai accès à l'interface web avec IPduServeur:8000, mais le mot de passe pour 'admin' n'a pas l'air d'être bon.
https://gist.github.com/Wonderfall/4669372b57d77bc40f84
Et pourtant, c'est le bon mot de passe, j'ai retenté plusieurs fois comme vous pouvez le constater.

J'ai vérifié à plusieurs reprises /usr/local/etc/prewikka/prewikka.conf mais sans succès : la syntaxe, les mots de passe des DB, rien de spécial, et le log dirait. Le problème vient vraiment du mot de passe admin qui est pourtant exactement le même que je rentre dans le champ prévu à cet effet. Comment cela est-ce possible ?
Au pire, comment réinitialiser ce mot de passe ? Puisque admin est déjà créé.

EDIT (2h00) : J'ai recréé toutes les DB, reconfiguré le .conf, en vain... Help !
Bon, en réinstallant une 3e fois, ça marche...

Gravefield

Bonjour,

Je bloque à ce niveau :

checking for LIBGCRYPT - version >= 1.1.94... no
configure: error:
***
*** libgcrypt was not found. You may want to get it from
*** ftp://ftp.gnupg.org/gcrypt/libgcrypt/
***

J'ai essayé avec :

apt-get install libgcrypt20-dev

Mais je me retrouve avec :

configure: WARNING:
***
*** The config script /usr/bin/libgcrypt-config was
[b]*** built for x86_64-pc-linux-gnu and thus may not match the
*** used host x86_64-unknown-linux-gnu.[/b]
*** You may want to use the configure option --with-libgcrypt-prefix
*** to specify a matching config script.
***

« Page précédente Page suivante »