私の最後のポストでは、同様にOSSECのLogwatchはをインストールします。 今ではLogwatchはとOSSECのは、一緒に同じサンドボックスで遊んで取得する時間です。 この記事では私がどのようにLogwatchは情報をOSSECのによって生成される要約を取得する方法について説明します。

展開オプション

我々はこの設定に従うことができます2つのパスがあります：

1. LogwatchはOSSECのは直接ログ解析があります。
2. OSSECのはSyslogタイプのサーバーへのアラートを送信することがありますし、Syslogサーバ上でLogwatchはを実行します。

オプション＃1の利点は、私たちは、1つのシステムが必要です。 Logwatchは、システムOSSECのサーバーをホスト上で実行されます。 我々に実行するとしている問題は、しかし、OSSECのアラートファイルが含まれます。 ログエントリは、正規化取得されません。 これは、形式のエントリからエントリを変更したり、意味も複数行に広がる可能性があります。 これは本当の悪夢フィルタリングすると警告情報をまとめLogwatchはスクリプトを作成することとしている。

我々はオプション＃2で行く場合は、我々は集中ログサーバーとして動作する別のボックスが必要になります。 ためにOSSECのサーバーは、非エージェントシステムからのログエントリを受け入れるが、それはUDP/514リッスンするようにしています。 これは、同じポート集中ログサーバーによって使用され、2つのアプリケーション間で共有のWindowsを除いて同じポートを（持っていないできますが、ソケットへのアクセスは非常に厄介です）。 プラス側では、警告エントリがはるかに容易になりますLogwatchは要約スクリプトを作成するので、それらがSyslogサーバに送信される正規化されます。 さらに、Logwatchはすでに約標準のSyslogファイルを知って、私たちは以下のカスタマイズ作業を行う必要があるようにします。

最後に、私は以前の記事は、OSSECのは、SIMのように設計されていませんに記載。 これは、それは記録されませんものは、警告を生成するだけでイベント。 だから我々は、おそらくとにかく集中サーバを必要になると、それは情報をOSSECので生成されて格納して理にかなって。

だから私はオプション＃2に向かってあなたをステアリング午前のように音がする場合は、絶対に修正されます。 ということで、それははるかに複雑な設定として、私は実際にオプションを＃1カバーするつもりです。

日付/時刻スタンプの扱い

メインOSSECのログファイルでご覧になれますし、次のような表示されます：

/ ossec.log [ルートは@めちゃくちゃ＃尾-3 / / OSSECのvar]をログ/ログ

2010/02/18午前12時32分05秒OSSECの- rootcheck：情報：エンディングrootcheckはスキャンします。

2010/02/18午後2時27分06秒OSSECの- syscheckd：情報：料金syscheckをスキャン。

2010/02/18午後2時39分21秒OSSECの- syscheckd：情報：エンディングsyscheckをスキャン。

方法を日付/時刻スタンプフォーマットされて注意してください。 まず最初に我々が行う必要がありますので、これはほとんどのアプリケーションとは異なる場合、この形式でLogwatchはどのように対処するように指示されます。 我々は、スクリプトを、我々は、その形式を上記の理解が必要呼び出すことができますを作成する必要があります。

共有スクリプトディレクトリに移動することによって開始：

は/ usr /共有/ logwatchのを/スクリプト/共有CD

ファイルを"applylongdate"という名前の作成して、好みのエディタを使用する：

viはapplylongdate

ここであなたが内部そのファイルの必要があります。 お気軽にコピー/貼り付け、このページから無料：

使用Logwatchは'：日付';

私は= $（''）| | 0 LOGWATCH_DEBUG ENVをデバッグ$;

$ SearchDate =エラーを発生（'％のYの/％mは/％d個％のH：％M：を％Sは'）;

（$> 5デバッグ）（場合

DEBUGの"STDERRの印刷：内部ApplyLongDateいます... \ n";

DEBUGの"STDERRの印刷：お探し："。 $ SearchDate。 する\ n"";

）

（（$ ThisLine定義されている= <STDIN>））（

（$ ThisLine / ^ $ SearchDate /オ=〜m）の（場合

印刷$ ThisLine =〜sは/ ^ ...。\ / .. \ / .. ..:..:.. / /;

印刷$ ThisLine;

）

）

＃viの：shiftwidth = 3構文は= perlのTabStopプロパティ= 3ら

一度ファイルを保存すると、我々は今、適切なアクセス許可を設定する必要があります：

755 applylongdateします。chmod

構成ログファイルの

次の我々はどこにOSSECのログファイルが置かれてLogwatchは指示する必要があります。 いつでも、新しいログファイルを追加したりLogwatchはで監視する新しいサービスを作成すると、は、/ etc / logwatchのディレクトリの下に変更を配置する必要があります。 我々は、2つの設定ファイルを作成する予定です。 最初に、OSSECのアラートおよびアクティブレスポンスの変更を処理する2番目のOSSECのメッセージを処理します。

メインOSSECのログファイルの構成ファイルを作成してみましょう：

シーディーの/ etc / logwatchの/ confに/ログファイル

六ossec.conf

ファイルの内容は、に従う必要があります：

ログファイルは=を/ var / OSSECの/ / ossec.logログ

* ApplyLongDate =

これで保存してファイルを終了します。 次に、我々は残りのログファイルの設定ファイルを作成します：

六OSSECの- alert.conf

このファイルの内容は、に従う必要があります：

ログファイルは=を/ var / OSSECの/ログ/アクティブresponses.log

ログファイルは=を/ var / OSSECの/ /警告/ alerts.logログ

ログファイルは=を/ var / OSSECの/ログ/ファイアウォールが/ firewall.log

完了したら、保存して終了します。 既定のアクセス許可が許容たちセットアップする必要があります。

OSSECのサービスの設定

次に、我々はOSSECのサービスを定義し、私たちは、タイトルのレポートが生成されるとして使用する識別が必要です。 ここではどのように最初のファイルを作成するには：

シーディーの/ etc / logwatchの/ confに/サービス

六ossec.conf

このファイルの内容は非常に簡単です：

タイトル="OSSECのメッセージ"

をLogFile = OSSECの

したら、保存して終了完了します。 我々は、このディレクトリ内の1つ以上のファイルを作成する必要があります：

六OSSECの- alert.conf

このファイルの内容は、必要があります：

タイトル="OSSECのアラート"

をLogFile = OSSECの-警告

完了したら、保存していつものように終了します。

エントリを解析

次に、我々はどのように形式にログエントリをレポート内のLogwatchは指示する必要があります。 我々は、サービスの各セットのカスタマイズスクリプトを作成する必要があります。 我々は、Logwatchは指定されたテストスクリプトを使用して起動する予定です。念のすべての作品を確認します。

適切なディレクトリに移動することによって開始：

シーディーの/ etc / logwatchの/スクリプト/サービス

あなたの最初のスクリプトを作成するお好みのエディタを使用して：

六OSSECの

スクリプトの内容は、に従う必要があります：

＃！/ bin / bashを

これはあなたの行を必要になりますが表示されますとして素晴らしいスクリプトです＃

＃の処理されるとの報告それを最初に表示されます。

＃標準的な環境変数と、それはSTDINがかかり、

＃それが正しいSTDOUTにアウトバックダンプします。

これらは、標準の環境変数は＃あなたが定義することができます

＃は、サービスの設定ファイル（上記参照）。

エコー"日付の範囲：$ LOGWATCH_DATE_RANGE"

エコー"の詳細レベル：$ LOGWATCH_DETAIL_LEVEL"

エコー"一時ディレクトリ：$ LOGWATCH_TEMP_DIR"

エコー"デバッグレベル：$ LOGWATCH_DEBUG"

＃は今STDINを取るとSTDOUTにダンプ

ネコ

今あなたの2番目のスクリプトを作成する：

六OSSECの-警告

と全く同じ内容が含まれて：

＃！/ bin / bashを

これはあなたの行を必要になりますが表示されますとして素晴らしいスクリプトです＃

＃の処理されるとの報告それを最初に表示されます。

＃標準的な環境変数と、それはSTDINがかかり、

＃それが正しいSTDOUTにアウトバックダンプします。

これらは、標準の環境変数は＃あなたが定義することができます

＃は、サービスの設定ファイル（上記参照）。

エコー"日付の範囲：$ LOGWATCH_DATE_RANGE"

エコー"の詳細レベル：$ LOGWATCH_DETAIL_LEVEL"

エコー"一時ディレクトリ：$ LOGWATCH_TEMP_DIR"

エコー"デバッグレベル：$ LOGWATCH_DEBUG"

＃は今STDINを取るとSTDOUTにダンプ

ネコ

最後に、我々は適切なアクセス許可を設定する必要があります：

755 OSSECのchmodの*

テストセットアップ

最も簡単な方法は、当社の新しい設定をテストするコマンドを実行することです：

logwatchのの|以下

場合にのみ変更を表示する場合は、各サービス、一度にレポートを実行することができます：

logwatchのサービスOSSECのが少ない件

logwatchのサービスOSSECの-警告|以下

さらにカスタマイズ

したら、上記のすべての作業を得る場合は、Logwatchはフィルタリングし、ログのエントリをまとめることに集中することができます。 Logwatchはかなり柔軟性がありますし、出力を任意の方法をカスタマイズできます。 1つは、上記の上記のテストスクリプトのいいもの、それはまさにあなたが働かなければならないかを示している。 したがって、適切な判断としては、エントリをまとめることはほとんど正規表現魔法。 いくつかのアイデアについては、ファイルを下にあるチェックアウト：

は/ usr /共有/ logwatchの/スクリプト/サービス

これらはデフォルトの要約スクリプトですLogwatchは付属。 具体的には、"pamの"とファイルを見て"sshdの"。 彼らは両方の要約フィルタの複雑な一連の単純な良い例です。

場合は、$ LOGWATCH_DETAIL_LEVEL"変数に細心の注意を払うようにスクリプトを開発する。 ユーザーが探している方法much冗長このはあなたがに応じてレポートの出力のレベルをカスタマイズする許可されます。 あなたはまだ、上記のサービスのディレクトリにあり、たとえば、次のコマンドを実行します：

以下のsshdの

時ファイルの内容の最初のページで、入力が表示されます：

/詳細<Enterキー>

バックスラッシュは私たちが特定のテキスト文字列のファイルを検索することができます。 我々が探しているこの例では、単語"の詳細"。 それは文字列の最初のインスタンスを見つけるまでしたら、ファイルをスキップします検索をEnterキーを押します。 また、検索文字列をハイライト表示されます。 最初の試合では、その著者は、変数$と同じLOGWATCH_DETAIL_LEVELする"変数を"$詳細"割り当てに気づくでしょう。 これは、彼らにいくつかの入力を保存することです。

今すぐバックスラッシュキーをもう一度Enterキーを続けて押します。 これは、次のインスタンスにファイルを介してジャンプします"詳細"。 あなたが表示されます：

詳細>（$場合= 20）（

$ユーザー（$ユーザー）（$ホスト）（$方法）+ +;

します）else（

（$ホスト！〜/ $をIgnoreHost場合は、/）（

$ユーザー（$ユーザー）（$ホスト）（"（すべての)"}++;

著者は、多くの情報を詳細レベルが20（半分の方法との間設定されている場合提供しています注意してください低中）以上。 ファイルを介してジャンプ保管すると、著者はこの手法を活用し、他の例が表示されます。

今すぐ下のファイルの末尾にページは、このステートメントを参照してください必要があります：

（キー％OtherList）（場合

印刷する\ n"**比類のないエントリが**する\ n";

印刷"$ _：$ OtherList（$ _）時間（s）を\ n"foreachのキー％OtherList;

）

このセクションでは非常に重要な、それが最終的な包括です。 ファイアウォールポリシーの瞬間を考えてください。 私たちのほとんどは言う最終的なルールを、"私は具体的には、トラフィックパターンを介して、許可をしなかった場合は、"それを否定作成します。 言い換えれば、何かが予期が発生した場合、これはどのように私はあなたがそれを処理する方法です。

上記のステートメントは同じ目的をログファイルを解析する機能。 すべての以前の""文は形式に適切にするためのログエントリで、特定のテキスト文字列を一致するようにしようとした場合。 このエントリは、"あなたにマッチしていない場合、まだ特定のログエントリを印刷、というタイトルのセクション"**比類のないエントリ**"でそれを印刷します。 この手順は非常に重要なことがないと我々は予期しないエントリを参照してくださいれることはありません。 これはおそらく最も興味深い重要な予期しないエントリです。

Execの概要

両方のOSSECのとLogwatchは、優れた無料ツールです。 ことを警告でOSSECの優れて既知の攻撃パターンが行われます。 人間が実際に何が起こっているの意味することができますので、Logwatchは時間のチャンクを要約するための素晴らしいツールですログ。 2つのツールを組み合わせることであなたがはるかに堅牢な守備を徹底的姿勢を作成できます。 全体は部分の総和より大きくなる。

彼らが活用し、セキュリティの姿勢を強化することができますどのように私の最後の2つの記事で私はLogwatchはとOSSECのと同様、議論した。 この記事で私がどのように両方をこれらのツールをインストールする方法について説明します。

インストールLogwatchは

Logwatchはかなり簡単にインストールされます。 あなたが既にシステム上のコピー可能性がありますので、実際には、それは多くのLinuxディストリビューションではデフォルトでインストールされます。 は、rootとしてログオンを確認し、"- v"をスイッチでLogwatchはを実行してみてください。 あなたが表示された場合：

[ルート@めちゃくちゃlogwatchのの]＃logwatchの- vを

Logwatchは7.3.6（05/19/07リリース）

logwatchのがインストールされ、最新のバージョンのコピーを持って。 バージョン場合は、最新ている場合はしない、あなたからそれをつかむことができますLogwatchはのダウンロードページ。

またLogwatchはのダウンロードすることができる3つのフレーバーが、バイナリRPM形式では、RPM形式、またはタールボールのソースのソースです。 お使いのシステムは、RPMパッケージの管理を、バイナリRPMをサポートする場合に最適です。 これは、簡単にインストールするとRPMソフトウェアを自動的に新しいバージョンが利用可能です更新します。

RPMからのインストールLogwatchは

は、rootとして単純にログオンRPMのバイナリバージョンをインストールすると、RPMファイルをダウンロードしたディレクトリに移動します。 今のコマンドを実行：

は、rpm - Uのlogwatchの- 7.3.6 - 1.noarch.rpmに

あなたはむしろ全部を入力しなくてもタブを自動補完するキーファイル名を使用することを忘れないでください。

ソースからのインストールLogwatchは

のインストールソースから少し時間がかかります。 そのためにあなたが既に）がシステムにインストールされてgccのようなコンパイラ（する必要がありますソースコードをインストールしてください。 ログオンは、rootとして、あなたはタールボールをダウンロードしたディレクトリに移動します。 アーカイブを抽出し、コマンドを実行するには：

タールxvzf logwatchの- 7.3.6.tar.gz

あなたの現在の場所のディレクトリ構造の下に作成およびファイルの多くを得る私たちインチコピーされてすぐにトップに作成されたほとんどのディレクトリを移動する必要がありますが表示されます：

シーディーlogwatchの- 7.3.6

logwatchのために実行するためには、お使いのシステム上に作成する必要があるディレクトリの束です。 これらは現在のディレクトリ内のREADMEに記載されます。 幸いにも、Logwatchはあなたのためにすべての作業を行うことができますインストールスクリプトが含まれます。 残念なことに、スクリプトが間違ってアクセス許可を、デフォルトでは実行されませんので、設定しています。 これはかなりしかしchmodコマンドを修正するために簡単です：

500 install_logwatch.shします。chmod

今は、セットアップスクリプトをGoogleのシステムで実行することができます：

/ install_logwatch.sh

行の先頭にピリオドを忘れないでください。

テストLogwatchは

あなたのLogwatchはセットアップをテストするには、コマンドを実行するには：

logwatchのの|以下

You will see your terminal screen go blank, but that is normal. You will eventually see a Logwatch report get printed to the screen that you can navigate through using the “Page Up” and “Page Down” keys. How log it takes for the report to show up on the screen will depend on how much log information needs to get parsed. It could take a few seconds or a couple of minutes. Either way, it will give you a chance to familiarize yourself with the report format.

Installing OSSEC

As I mentioned in my last post, you have two installation options with OSSEC, local or client/server. In this post I'm going to focus on the client/server setup, as it is a bit more complex. If you are performing a local install, simply select the “local” option during the install process and skip the section on setting up a secure channel between the agent and the server.

Start With The Server

OSSEC uses Blowfish encryption to secure communication between the client and the server. Blowfish is symmetrical key based, so both sides must know what key value to use in order to communicate. The server is responsible for generating the symmetrical key, so we have to install the server software first. During the client install we will be prompted for a key value so obviously we will need to have that handy ahead of time.

Here's a time saving tip. The key value is long and nearly impossible to remember. The easiest way to move the key value from the server system to the agent system is to use SSH. Create a secure connection to the OSSEC server, and extract the appropriate key (directions provided below). In a second terminal window, create an SSH session to the system where you will be installing the agent. When the client install prompts you for the key value, you can simply copy/paste between the two terminals.

Installing The OSSEC Server

The server software is available as a Tar ball, so you can grab a copy of the latest version from the OSSEC download page . You will then need to extract the contents of the Tar ball:

tar xvzf ossec-hids-2.3.tar.gz

Next, move into the directory structure you just created:

cd ossec-hids-2.3

OSSEC provides an install script to walk you through the process of installing the server. To start the script, type:

./install.sh

Don't forget the period at the beginning of the command. You will now be prompted through a number of install options:

• Language – The default is English. Change as needed.
• Confirmation of installation – Press Enter once you have read the screen.
• Install type – Type in “server” without the quotes and press Enter.
• Install location – Accept the default.
• E-mail notification – Default is yes, select if you want e-mail alerts. If you select yes, you will be prompted for a valid e-mail address and mail server.
• Integrity check – Default is yes. Select if you want the local system periodically checked for intrusions.
• Root kit detection – Default is yes. Good option since we need to maintain a high level of integrity on this system.
• Active response – Default is yes. Select this option if you wish to be able to respond to events.
• Firewall drop – Permits the OSSEC server to defend it self if a direct attack is detected.
• White list – This will permit you to add IP addresses from which possible attacks will be ignored. Be careful with this option. If you will not have console access to the OSSEC server, it might be wise to identify one IP address that can always get in. Just ensure the source IP is a trustworthy system.
• Enable Syslog – Default is yes. Select this option if you wish to collect logs from system that cannot run an OSSEC agent (like firewalls, switches, routers, access points, etc.).
• Log files to be monitored – This screen identifies all of the local log files OSSEC will monitor. It is purely information, so all you can do is press Enter to move past it. If you notice one or more log files missing from the list, you can add them later to the ossec.conf file.

At this point OSSEC will access the local complier and install all needed files onto the system. Once complete, you can start the OSSEC server by executing the command:

/var/ossec/bin/ossec-control start

Defining OSSEC Agents

We are not done with the OSSEC server just yet. Next, we need to pre-define any systems that will be running the OSSEC agent (client) software. This is performed using the manage_agents command. First however, we need to do a bit of homework. Make a list of all of the systems that will be running the OSSEC agent software. For each system, you will need a descriptive name as well as that system's IP address.

Now, execute the following from the command line:

/var/ossec/bin/manage_agents

This will produce the Agent Manager main menu. Press “A” followed by the Enter key to define your first system. Enter a descriptive name for the first system, followed by the system's IP address. Don't worry about the agent ID number. Simply accept the default and OSSEC will auto-assign the next available ID number. Once you confirm the information you entered, you will be returned to the Agent Manager main menu. Repeat the above process for each system that will be running an OSSEC agent.

Generating Keys

Once you have added in all of your systems, it is time to generate encryption keys. This step is also performed with the manage_agents utility. If you closed the tool after the last step, relaunch it now.

Press the “E” key followed by Enter to select the “Extract key for an agent” menu option. You will then be prompted for the ID number of the key you wish to extract. The descriptive names and IP addresses are listed with each ID number, so it should be trivial to identify which one you want. Start with the system you plan to install the agent software onto first.

OSSEC Agent Install On Linux

When installing the agent software on a Linux or UNIX client, you use the exact same Tar ball we used to install the server software. Run the same install script, but this time when you are prompted for the type of install you wish to perform, type in “agent” followed by the Enter key.

The client install has many of the same prompts as the server install. Use the info above to guide you through the process. The prompt that will vary however is that you will be asked to provide the IP address of the OSSEC server. Once complete, OSSEC will access the local complier and install all required files onto the system.

Next we need to import the Blowfish key from the OSSEC server. While still on the agent system, run the command:

/var/ossec/bin/manage_agents

When the Agent Manager menu appears, select “I” to import the Blowfish key.

When the next prompt appears, you need to manually enter the appropriate Blowfish key. Again, if you are running SSH to both systems at the same time, you can simply copy/paste between the two terminals. Make sure the key looks correct, press the Enter key, and then select “y” to confirm that the key looks correct. You will be returned to the Agent Manager menu. Select “q” in order to return to the command line.

Now we simply need to start the OSSEC agent. You can do so by executing the following command:

/var/ossec/bin/ossec-control start

You should see all of the OSSEC agent components start up, followed by a “Completed” message.

OSSEC Agent Install On Windows

OSSEC has a self-extracting executable that will permit you to install the agent software on a Windows system. Simply double click the executable to start the install process. You will be prompted to agree to the license as well as which components you wish to install. Simply follow the prompts till the OSSEC Agent Manager window appears.

The OSSEC Agent Manager window will prompt you for the IP address of the OSSEC server. It will also prompt you for the Blowfish key value to use, so extract the appropriate key on the server and enter the value in this field. Make sure you delete the prompt within this field before you paste in the Blowfish key. Otherwise communication with the server may fail.

Next, select “Manage” from the OSSEC Agent Manager menu, followed by “Start OSSEC”. You should now see the “Status:” indicator change to “Running…”.

Testing OSSEC

Once you have the server and agent software installed, started and the appropriate keys configured, it is now time to check our setup. Execute the following command on the OSSEC server:

cd /var/ossec/logs

And check out the ossec.log file:

less ossec.log

Check the log file for any errors. A common error is that OSSEC reports it cannot send e-mail. Make sure the mail server is running and that it is accepting connections. Once you are happy with the server setup, it is now time to check out the agents. Move down to the “alerts” directory:

cd alerts

And check out the alerts.log file:

less alerts.log

Specifically, you are looking for entries similar to the following:

2010 Feb 17 16:09:16 (desktop) 192.168.1.10->ossec

Rule: 501 (level 3) -> 'New ossec agent connected.'

Src IP: (none)

User: (none)

ossec: Agent started: 'test_system->192.168.1.10′.

You should see an entry for every system on which you installed the agent software.

More To Come

やれやれ！ That's more than enough for one post! In my next post I'll get into leveraging Logwatch to parse all of the alert information being generated by OSSEC.

In my last post I described how Logwatch could be used to simplify the log review process. In this post we'll look at OSSEC and what it brings to the table.

What Is OSSEC?

OSSEC , short for “Open Source SECurity”, is a host based intrusion detection system (HIDS). In other words, it is designed to detect attacks or policy violations if and when they occur. While it does not have the ability to protect against unknown or 0-Day attacks (that would be host based intrusion prevention), it does include a wide range of tools which can help you identify an intrusion when it occurs, as well as the extent of the damage that has been caused.

Supported Platforms

To take advantage of all of the features OSSEC has to offer, you have to run an agent on the system being protected. OSSEC agents can run on Windows, Mac OS X, Linux, and a wide range of UNIX systems. If you are just interested in the log analysis portion however, an even wider range of systems can be supported. This includes hardware from both Cisco and Juniper. A number of specific products are also supported like Checkpoint firewalls, Symantec Anti-Virus, Snort, Squid, and Arpwatch, just to name a few.

When you install OSSEC you have two configuration options, local or client/server. A local install is used when you need to run everything on a single system. The client/server installation lets you run a distributed environment protecting multiple systems at the same time. While most deployments are client/server based, if you want to give OSSEC a spin you can easily run everything on a single test system using a local install.

Log Analysis

OSSEC includes a Log-based Intrusion Detection System (LIDS). This has the ability to review log files in near real time, while scrutinizing them for known attack patterns. When a log is generated on a protected system, the agent takes care of securely transmitting the log (Blowfish encryption using a pre-shared secret) back to the server. The server then takes care of performing the analysis.

Most log analysis tools process their rules in a linear format. By that I mean if we have 500 rules, rule one is checked, then rule two, then rule three and so on till a match is found or we reach the end of the rule set.  OSSEC works a bit differently as it implements a hieratical structure to the rules. Log entries are first classified and then checked only against whichever rules are appropriate. The result is that rather than needing to process all 500 rules, most events will get checked against 10 rules or less. This dramatically reduces the amount of overhead required to process the rule set.

Integrity Checking

OSSEC includes a tool called Syscheck for performing file and directory integrity checking. If you are running a Windows agent, you can also include specific keys within the Windows registry to be monitored as well. File changes can be detected using both MD-5 and SHA-1 hash algorithms. The system is extremely customizable. You can include or exclude single files, or entire directory structures. You can even set a flag to detect new file creation.

The agent software is designed to use a minimal amount of CPU during the integrity check. While this means the check will take longer, it also helps to minimize the performance hit to the system. Hash information is transmitted back to the server. The server then takes care of performing the hash comparison to see if any of the system's critical files have been changed. The server also stores a copy of the integrity check policy, so that if policy changes are made on the agent, they can be detected and reported as well.

Anomaly detection

OSSEC goes far beyond log checking to verify system integrity. Usage policies can be centrally managed from the server, and then pushed out to the appropriate agents. For example you could define a policy regarding which Windows applications are acceptable (Office, Firefox, etc.) and which ones are not (IM client, Skype, etc.). You can even define acceptable configuration options like verifying that NT hashes are being used for password stored but not LanMan hashes.

OSSEC includes a number of other goodies in order to help verify a system's integrity. For example OSSEC has the ability to execute commands from the agent and monitor the output that gets generated. For example you could have the Linux agent execute the “df” command at regular intervals and generate an alert if disk usage exceeds 90%. A Windows example may be to have OSSEC generate an alert whenever file information is written to the alternate data streams area of NTFS.

Active Response

Finally, OSSEC includes the ability to respond when suspicious activity is detected. Responses can be generated from the server or the agent, which ever you specify. Responses can be as benign as generating an e-mail alert, to being as proactive as blocking a remote IP address for a limited amount of time. There are a number of included active response scripts you can draw on, or you can easily write your own.

Secure Architecture

The OSSEC authors have gone to great lengths to secure all of the components within the product. Tasks such as integrity checking are performed on the server, rather than the agent, so the trustworthiness of the hashes cannot be compromised during an attack. Processes are run with the lowest level of permissions possible, and different accounts are used to run each OSSEC component. This means that a compromise of a single application within OSSEC will not immediately lead to a compromise of the full package. Further, most components are run within a chrooted jail so their access to the system is even further restricted.

Final Words

While OSSEC is a powerful tool, it is important to remember that it is a HIDS and not a log management solution. OSSEC can review log entries looking for suspicious patterns, but it will only save alert information. So while OSSEC will not replace your Security Information Management (SIM) solution, it can most certainly augment it. You can easily setup OSSEC to forward all alerts it generates to a central logging server .

While OSSEC is open source software, Trend Micro is primarily developing it. If you need commercial support, you can purchase a support contract through them at a reasonable fee.

More To Come

In my next installment we'll look at installing OSSEC and Logwatch. After that, we'll move into integrating the two together.

I recently had a student ask me a question regarding the integration of Logwatch with OSSEC. I felt like this was a complex and yet cool enough idea that it warranted a series of posts to cover it in full. So over the next few days I'll talk about each of these tools, how to integrate them together, as well as what additional security visibility can be gained once the process is complete.

What Is Logwatch?

Logwatch is an excellent open source tool for generating daily human readable log reports. Log entries tend to fall into one of three categories:

• Stuff you know is evil
• Stuff you know is normal and can be safely ignored
• Everything else

It is that “everything else” category where Logwatch really shines. For the stuff we know is evil, we will setup some form of alerting system. For example we may write an alert signature that warns the security analyst when an account is being brute forced. But what about the attacks we don't know about or are not sure what they look like? This would be a clear example of that “everything else” category. The traffic is not normal, but we have not seen it before to have a signature waiting to generate an alert. Since we will be unable to catch the attack in real time, we will need to catch it during a daily log review.

Of course the problem with doing daily log reviews is that it is tedious and time consuming. I mean let's be honest, who really wants to spend their day reviewing one million plus log entries? Even if you did, are you sure you would actually catch the out of the ordinary traffic?

これは、しくみ

What Logwatch does very well is permit you to reorganize your data into a format that is easier for humans to follow. Its real strength is that it permits you to move the stuff you understand out of the way (normal or evil), so that the unexpected log entries stand out like a sore thumb. In other words, Logwatch lets you summarize your log entries so the unusual stuff is easier to spot.

What I really love about Logwatch is that you don't lose anything. Many log review tools will only show you the stuff that has been pre-defined as being evil. The problem they all share is that when something evil but unexpected happens, it flies right under the wire. Because Logwatch lets you see everything, you no longer miss the unexpected.

Logwatch In Action

Lets discuss how Logwatch works using the SSH server service as an example. The scripts to deal with SSH have already been defined within Logwatch, so you do not need to do any tweaking to receive the features we are going to discuss.

When reviewing a log file, the first thing Logwatch does is reorganize log entries based on their message types. For example all Successful SSH logons are grouped together, as well as too many logon failures, refused connections, locked accounts, accounts without a proper shell, protocol mis-matches, etc. etc. etc. Once all the SSH messages are grouped by their type, the data is then summarized to reduce the amount of information being reported.

For example, the default is to summarize failed logon attempts by account and source IP. So a typical failed logon report section might look like this:

Failed logins from these:

bsmith/password from 1.2.3.4: 637 time(s)

jsmith/password from 1.2.3.5: 2 time(s)

So rather than having to review 639 log entries reporting a bad logon attempt, we have all the pertinent information summarized into three lines (if you include the title). Continue this process for all of the other SSH messages, and we have dramatically reduced the amount of time required to review our logs.

But what if something happens that Logwatch is not pre-programmed to recognize? When an unexpected log entry is found, Logwatch adds a section to the end of the service report called “Unmatched Entries”. So if we see this title in the SSH server section, we know some event has occurred that is either abnormal or unexpected for the SSH service. This could very well be some form of attack that we are not aware is making the rounds.

By focusing in on the unmatched entries section, we can quickly identify unexpected activity. As I stated earlier, this is really the main goal of doing daily log reviews. To find the stuff we don't expect which will sneak past our alerting system. Logwatch makes this process as quick and as painless as possible.

Feature Summary

In the above example I talked about doing daily log reviews, but to be honest Logwatch is highly customizable. You can specify any range you wish to use down to an interval of one second. For example let's say I'm investigating an intrusion rather than performing a daily log review. I could specify a range such as “2010/02/14 17:05:00 for that hour” to focus right in on the information that interest me. I can also focus in on one specific log file or service.

The detail level of the report is also customizable. Typically when you deal with security you get in the habit of always wanting the highest detail level of reporting. To be honest, with Logwatch a high level of detail is probably more than you will ever need. Personally I typically stick with “med” for medium and that works out nicely. You can also specify the reporting level as “low” or “high” or use a numeric range of 0-10 for a higher level of granularity (low =0, med=5, high=10).

Logwatch can be run automatically or as a manual process. Typically you will want to set it up to run automatically each day and summarize one day's worth of log entries. If you ever need to expand or focus the report, you can always run Logwatch from the command line while specifying exactly what you want to see. You can then use the “–save” option to specify a report name and directory location for storage.

More To Come

The above should give you a good idea as to the features Logwatch can bring to the table. In the next post I'll discuss OSSEC in the same level of detail. After that, I'll get into how to install each tool as well as how to integrate them together.