OSSEC虚拟设备2.9.3配置

OSSEC长期贡献者Vic Hargrave已发布OSSEC虚拟设备的更新。

下载

https://ossec.github.io/downloads.html

自述文件

1. 该虚拟设备包含以下功能：

   • CentOS 7.4
   • OSSEC 2.9.3
   • Elasticsearch-Logstash-Kibana（ELK）6.1.1
   • Cerebro 0.7.2

2. 虚拟设备以OVA的形式提供，您可以将其导入大多数虚拟系统。我们建议使用VirtualBox，它可以直接导入OVA图像。我们使用VirtualBox创建了此设备和OVA。

3. 要打开设备包装，请使用gunzip解压缩软件包，然后将ossec-vm-2.9.3.ova导入虚拟化应用程序。我们建议使用VirtualBox运行设备。

4. 设备网络接口配置为使用NAT模式。要将此设备用作常规OSSEC服务器，必须将设备上的网络接口配置为使用桥接模式，并在CentOS guest虚拟机上设置静态IP地址。请参阅有关如何执行此操作的UnixCraft文章https://www.cyberciti.biz/faq/howto-setting-rhel7-centos-7-static-ip-configuration/。

5. 该设备具有一个Kibana仪表板，以可视化OSSEC警报。进入桥接模式后，您可以使用端口5601通过设备的静态IP从外部浏览器访问Kibana：

   http://<appliance-static-ip>:5601

   单击“仪表板”，然后选择“ OSSEC仪表板”以显示具有3个面板的仪表板

   • OSSEC警报随时间推移：条形图显示每单位时间的事件数。
   • 每个代理的主要警报：饼图显示了最活跃的20个代理中每个警报的20个警报。
   • OSSEC警报数据：该表显示各个警报及其相应的字段/值。

6. 您可以通过在浏览器中打开以下URL，使用Cerebro（通常为Kopf）在设备上管理Elasticsearch实例：

   http://<appliance-static-ip>:9000

   在Cerebro启动屏幕上的节点地址文本框中输入Elasticsearch URL，http://<vm-static-ip>:9200，然后单击“连接”按钮。

7. 定义了两个CentOS用户：“ ossec”和“ root”。根密码为“ _0ssec_”。“ ossec”用户没有密码。启动虚拟机并进入登录控制台时，如果要以“ ossec”身份登录，只需按Enter。

8. OSSEC和ELK与yum一起安装。要升级任一版本，只需使用“ upgrade”选项运行yum：

   yum upgrade ossec-hids -y yum upgrade <elasticsearch|logstash|kibana> -y

9. OSSEC安装在/ var / ossec中。

10. ELK和Cerebro组件安装在/ usr / share / <elasticsearch | logstash | kibana | cerebro>中。

11. OSSEC的Logstash管道提取文件为/etc/logstash/conf.d/ossec.conf。

12. 您可以使用systemctl命令启动和停止OSSEC，ELK和Cerebro服务：

    systemctl <start|stop> <ossec-hids|elasticsearch|logstash|kibana|cerebro>.service