端点检测和响应EDR与OSSEC

最新推荐文章于 2024-07-14 19:52:31 发布
最新推荐文章于 2024-07-14 19:52:31 发布
阅读量2.6k 收藏 6
点赞数
分类专栏： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/gengzhikui1992/article/details/106686073
版权

1. EDR的由来

任何具有网络 IP 地址的设备，只要被允许与组织的网络进行交互，都是一个端点。

下面是一些关键端点威胁:

  • 可执行文件包（恶意软件）
  • 潜在不受欢迎程序 (PUA)，比如广告软件
  • 勒索软件，比如文件加密器和磁盘加密器（擦除器）
  • 基于漏洞的攻击和文件攻击，比如伪装后的文档（通常是经过精心制作或修改以造成损害的办公程序）和恶意脚本（通常是隐藏在合法程序和网站中的恶意代码）
  • 主动攻击技术，包括权限提升（攻击者在系统中获取额外访问权限的方法）、身份盗窃（窃取用户名和密码）和代码洞（将恶意代码隐藏在合法应用程序中）等等。

在过去十多年里，端点安全仅仅指的是杀毒软件一种产品。随着安全威胁形态的演化，传统端点安全产品存在的问题越来越突出：应对机制是被动的，组织只有受到攻击后才能感知和捕获，并将其特征放到病毒库中，然后通过升级杀毒软件并应用到用户才能应对。

Gartner 的 AntonChuvakin 于 2013 年 7 月首次创造了端点威胁检测和响应 (Endpoint Threat Detection and Response，ETDR) 这一术语，用来定义一种 “检测和调查主机 / 端点上可疑活动（及其痕迹）” 的工具。后来通常称为端点检测和响应 (EDR)。EDR 的出现有助于解决这些问题：要 “看到” 未知威胁是非常有难度的，其关键就在于检测异常行为。EDR 通过对端点进行持续检测，发现异常行为并进行实时干预，同时通过应用程序对操作系统调用等异常行为分析，检测和防护未知威胁，结合机器学习和人工智能辅助判断，最终达到杀毒软件无法解决未知威胁的目的。

1.1 EDR与AV的区别

人们常问的一个问题是 EDR 与传统反病毒软件(AV)或下一代反病毒(NGAV)之间的区别。 在他们看来，他们不需要这两种技术。 但事实并非如此。 事实上，这两种技术在保护你的网络方面有不同的用途。 反病毒和下一代反病毒专注于预防，但对攻击期间发生的情况一无所知。 它们被设计用来在坏的东西进入你的网络之前捕捉它们。 但是即使它们正确地做到了这一点，它们也不能告诉你恶意软件来自哪里，以及它们是如何在系统中传播的。 EDR 描述的是整个攻击过程，并帮助你跟踪可执行文件是如何获得对计算机的访问权限并尝试运行的。 EDR 不仅提供了可见性，当一个攻击行为被 AV 阻止，或者是一个不错 NGAV 防控失败，那么在这种情况下，你最有可能处理发的是一个严重的攻击，如无文件型的恶意软件，零日漏洞，或高级持续性威胁。 这些类型的攻击不会留下签名，这使得它们更难防范，而且如果没有 EDR 这样的服务几乎不可能被发现。 它会警告你攻击未遂，当攻击者已经绕过你的所有防御措施并在你的网络中时，EDR 会为你提供洞察能力。

1.2 EDR 与 SIEM 的区别

另一个常见的问题是 EDR 与安全信息和事件管理(SIEM)之间的区别。 SIEM 是一种从防火墙、服务器和网络设备收集日志的技术。 它整合了你的所有网络日志，以帮助跟踪行为、识别威胁并进行调查。 但是，你必须设置规则和查询来告诉 SIEM 要查找什么以及要跟踪什么行为。 SIEM 是一个非常好的服务，可以全面地观察发生在你的网络上的活动。 EDR 专门整合和分析端点数据，为分析人员提供设备，xise而不是要求他们分析成千上万的日志或事件。 最终，这两种技术服务于不同的目的，并且可以在一个安全的网络环境中相互补充，但是 EDR 的主要目的是简化并有效地检测和应对威胁。

2. OSSEC

OSSEC是一个将HIDS（基于主机的入侵检测），日志监视以及安全事件管理（SIM）/安全信息和事件管理（SIEM）结合在一起的系统。

2.1 主要功能

2.1.1 文件完整性检查

无论攻击手段有多么高明，最终的目的是以某种方式改变系统，从修改文件的病毒到改变内核的后门程序，系统的完整性总会有一些变化。

比如：

  • Windows注册表中密钥文件的MD5/SHA1校验和的更改来检测系统完整性的变化
  • Linux 一切皆文件，md5变化

完整性检查是入侵检测的重要组成部分，它可以检测系统完整性的变化。它的工作方式是代理每隔几个小时扫描一次系统（用户定义），并将所有校验和发送到服务器。服务器存储校验和并在其上查找修改。如果发生任何更改，将发送警报。

文件属性包括：md5sum,size,owner,group,permission,
配置示例：

<syscheck>
    <directories realtime="yes" check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
    <directories check_all="yes">/bin,/sbin</directories>
</syscheck>

<rule id="100345" level="0" >
    <if_group>syscheck</if_group>
    <description>Changes ignored.</description>
    <match>/etc/a|/etc/b|/etc/dir</match>
    <hostname>mswin1|ubuntu-dns</hostname>
</rule>

2.1.2 日志监控

OSSEC收集，分析并关联操作系统中的日志（应用程序、配置更改等），以让您知道是否正在发生可疑事件（攻击，滥用，错误等）。

日志的监控可分为两种

  • 一种是被动的采集，通过采集需要的日志，读取日志信息，标准化输出适应安全规则使用的内容，当匹配到内置或者自定义的规则，随后输出实时告警，从而发现异常；
  • 另一种是主动的查询，通过周期下发命令查询系统状态信息，然后进行新旧信息比对，从而发现异常。
2.1.2.1 Process Monitoring

配置示例：
磁盘空间利用率（df -h）

<localfile>
    <log_format>command</log_format>
    <command>df -h</command>
</localfile>

Load average (uptime)

<localfile>
    <log_format>command</log_format>
    <command>uptime</command>
</localfile>

在uptime命令大于2时发出警报

<rule id="100101" level="7" ignore="7200">
    <if_sid>530</if_sid>
    <match>ossec: output: 'uptime': </match>
    <regex>load averages: 2.</regex>
    <description>Load average reached 2..</description>
</rule>

Detecting USB Storage Usage

configure your Windows agents to monitor the USBSTOR registry entry using the reg command

<agent_config os="windows">
    <localfile>
        <log_format>full_command</log_format>
        <command>reg QUERY HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR</command>
    </localfile>
</agent_config>

create a local rule for that command:

<rule id="140125" level="7">
    <if_sid>530</if_sid>
    <match>ossec: output: 'reg QUERY</match>
    <check_diff />
    <description>New USB device connected</description>
</rule>
2.1.2.2 File Monitoring

linux日志监视

<localfile>
    <location>/var/log/messages</location>
    <log_format>syslog</log_format>
</localfile>

Windows EventLog

<localfile>
    <location>Security</location>
    <log_format>eventlog</log_format>
</localfile>

2.1.3 Rootkit检测

2.1.3.1 rootkit简介

Rootkit是一种特殊的恶意软件，与病毒或者木马不同的是，Rootkit试图通过隐藏自己来防止被发现，以达到长期利用受害主机的目的。

Rootkit的基本功能：

  • 隐藏文件
  • 隐藏进程
  • 隐藏网络端口
  • 隐藏内核模块等
  • 后门功能
  • 键盘记录器

Rootkit分为两种：

  • 用户态Rootkit（User-mode Rootkit）。一般通过覆盖系统二进制和库文件来实现
  • 内核态Rootkit（Kernel-mode Rootkit）。通常通过可加载内核模块（Loadable KernelModule，LKM）将恶意代码直接加载进内核中
2.1.3.2 ossec rootkit db

rootkit_files.txt

# Bash door
tmp/mcliZokhb           ! Bash door ::/rootkits/bashdoor.php
tmp/mclzaKmfa           ! Bash door ::/rootkits/bashdoor.php

# adore Worm
dev/.shit/red.tgz       ! Adore Worm ::/rootkits/adorew.php
usr/lib/libt            ! Adore Worm ::/rootkits/adorew.php
usr/bin/adore           ! Adore Worm ::/rootkits/adorew.php
*/klogd.o               ! Adore Worm ::/rootkits/adorew.php
*/red.tar               ! Adore Worm ::/rootkits/adorew.php

# T.R.K rootkit
usr/bin/soucemask       ! TRK rootkit ::/rootkits/trk.php
usr/bin/sourcemask      ! TRK rootkit ::/rootkits/trk.php

rootkit_trojans.txt

identd      !bash|^/bin/sh|file\.h|proc\.h|/dev/[^n]|^/bin/.*sh!
init        !bash|/dev/h
tcpd        !bash|proc\.h|p1r0c4|hack|/dev/[^n]!
rlogin      !p1r0c4|r00t|bash|/dev/[^nt]!

# Kill trojan
killall     !/dev/[^t%]|proc\.h|bash|tmp!
kill        !/dev/[ab,d-k,m-z]|/dev/[F-Z]|/dev/[A-D]|/dev/[0-9]|proc\.h|bash|tmp!

win_malware_rcl.txt

# http://www.iss.net/threats/ginwui.html
[Ginwui Backdoor {PCI_DSS: 11.4}] [any] [http://www.iss.net/threats/ginwui.html]
f:%WINDIR%\System32\zsyhide.dll;
f:%WINDIR%\System32\zsydll.dll;
r:HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\zsydll;
r:HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows -> AppInit_DLLs -> r:zsyhide.dll;

# http://www.symantec.com/security_response/writeup.jsp?docid=2006-081312-3302-99&tabid=2
[Wargbot Backdoor {PCI_DSS: 11.4}] [any] []
f:%WINDIR%\System32\wgareg.exe;
r:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\wgareg;

# http://www.f-prot.com/virusinfo/descriptions/sober_j.html
[Sober Worm {PCI_DSS: 11.4}] [any] []
f:%WINDIR%\System32\nonzipsr.noz;
f:%WINDIR%\System32\clonzips.ssc;
f:%WINDIR%\System32\clsobern.isc;

2.1.4 实时告警

ossec支持实时邮件告警、syslog告警、写数据库、输出json等方式

2.1.5 积极响应

OSSEC是一款准EDR产品，其中体现的‘R’技术，就是指的的这个主动响应。

我们可以根据特定的服务器或服务器组(agent)、特定的规则ID等多个条件关联触发响应动作，响应的动作可以通过脚本程序去实现个性化的需求。

  • 邮件提醒
  • 指令下发边界安全设备或者安全组件

2.2 部署方式

OSSEC支持以下操作系统和日志格式。

2.2.1 操作系统代理

OSSEC代理支持以下操作系统：

GNU / Linux（所有发行版，包括RHEL，Ubuntu，Slackware，Debian等）
Windows XP，2003，Vista，2008、2012
VMWare ESX 3.0、3.5（包括CIS检查）
FreeBSD（所有当前版本）
OpenBSD（所有当前版本）
NetBSD（所有当前版本）
Solaris 2.7、2.8、2.9、10和11.4
AIX 5.2和5.3
Mac OS X 10.x
HP-UX 11

2.2.2 通过Syslog支持的设备

这些系统/设备也通过远程系统日志支持：

Cisco PIX，ASA和FWSM（所有版本）
Cisco IOS路由器（所有版本）
Juniper Netscreen（所有版本）
SonicWall防火墙（所有版本）
Checkpoint防火墙（所有版本）
Cisco IOS IDS / IPS模块（所有版本）
Sourcefire（Snort）IDS / IPS（所有版本）
Dragon NIDS（所有版本）
Checkpoint Smart Defense（所有版本）
McAfee VirusScan Enterprise（v8和v8.5）
Bluecoat代理（所有版本）
Cisco VPN集中器（所有版本）
VMWare ESXi 4.x版

2.2.3 无代理扫描

使用OSSEC无代理选项，还支持以下系统（用于日志分析和文件完整性检查）：

Cisco PIX，ASA和FWSM（所有版本）
Cisco IOS路由器（所有版本）
Juniper Netscreen（所有版本）
SonicWall防火墙（所有版本）
Checkpoint防火墙（所有版本）
传统反病毒软件 vs EDR

3. 示例配置

3.1 ossec-agent

<!-- OSSEC example config -->

<ossec_config>
  <client>
    <server-ip>192.168.10.100</server-ip>
  </client>

  <syscheck>
    <!-- Frequency that syscheck is executed (default every 2 hours) -->
    <frequency>7200</frequency>

    <!-- Directories to check  (perform all possible verifications) -->
    <directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
    <directories check_all="yes">/bin,/sbin,/boot</directories>

    <!-- Files/directories to ignore -->
    <ignore>/etc/mtab</ignore>
    <ignore>/etc/hosts.deny</ignore>
    <ignore>/etc/mail/statistics</ignore>
    <ignore>/etc/random-seed</ignore>
    <ignore>/etc/random.seed</ignore>
    <ignore>/etc/adjtime</ignore>
    <ignore>/etc/httpd/logs</ignore>

    <!-- Check the file, but never compute the diff -->
    <nodiff>/etc/ssl/private.key</nodiff>
  </syscheck>

  <rootcheck>
    <rootkit_files>/var/ossec/etc/shared/rootkit_files.txt</rootkit_files>
    <rootkit_trojans>/var/ossec/etc/shared/rootkit_trojans.txt</rootkit_trojans>
  </rootcheck>

  <localfile>
    <log_format>syslog</log_format>
    <location>/var/log/messages</location>
  </localfile>

  <localfile>
    <log_format>apache</log_format>
    <location>/var/www/logs/access_log</location>
  </localfile>

  <localfile>
    <log_format>apache</log_format>
    <location>/var/www/logs/error_log</location>
  </localfile>
</ossec_config>

3.2 ossec-server

<!-- OSSEC example config -->

<ossec_config>
  <global>
    <email_notification>yes</email_notification>
    <email_to>daniel.cid@example.com</email_to>
    <smtp_server>smtp.example.com.</smtp_server>
    <email_from>ossecm@ossec.example.com.</email_from>
  </global>

  <rules>
    <include>rules_config.xml</include>
    <include>pam_rules.xml</include>
    <include>sshd_rules.xml</include>
    <include>telnetd_rules.xml</include>
    <include>syslog_rules.xml</include>
    <include>arpwatch_rules.xml</include>
    <include>vpopmail_rules.xml</include>
    <include>vmpop3d_rules.xml</include>
    <include>courier_rules.xml</include>
    <include>web_rules.xml</include>
    <include>web_appsec_rules.xml</include>
    <include>local_rules.xml</include>
  </rules>


  <syscheck>
    <!-- Frequency that syscheck is executed -- default every 20 hours -->
    <frequency>72000</frequency>
    
    <!-- Directories to check  (perform all possible verifications) -->
    <directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
    <directories check_all="yes">/bin,/sbin,/boot</directories>

    <!-- Files/directories to ignore -->
    <ignore>/etc/mtab</ignore>

    <!-- Check the file, but never compute the diff -->
    <nodiff>/etc/ssl/private.key</nodiff>
  </syscheck>

  <rootcheck>
    <rootkit_files>/var/ossec/etc/shared/rootkit_files.txt</rootkit_files>
    <rootkit_trojans>/var/ossec/etc/shared/rootkit_trojans.txt</rootkit_trojans>
  </rootcheck>

  <global>
    <white_list>127.0.0.1</white_list>
    <white_list>::1</white_list>
    <white_list>192.168.2.1</white_list>
    <white_list>192.168.2.190</white_list>
    <white_list>192.168.2.32</white_list>
    <white_list>192.168.2.10</white_list>
  </global>

  <remote>
    <connection>secure</connection>
  </remote>

  <alerts>
    <log_alert_level>1</log_alert_level>
    <email_alert_level>7</email_alert_level>
  </alerts>

  <command>
    <name>host-deny</name>
    <executable>host-deny.sh</executable>
    <expect>srcip</expect>
    <timeout_allowed>yes</timeout_allowed>
  </command>  

  <command>
    <name>firewall-drop</name>
    <executable>firewall-drop.sh</executable>
    <expect>srcip</expect>
    <timeout_allowed>yes</timeout_allowed>
  </command>  

  <command>
    <name>disable-account</name>
    <executable>disable-account.sh</executable>
    <expect>user</expect>
    <timeout_allowed>yes</timeout_allowed>
  </command>  


  <!-- Active Response Config -->
  <active-response>
    <!-- This response is going to execute the host-deny
       - command for every event that fires a rule with
       - level (severity) >= 6.
       - The IP is going to be blocked for  600 seconds.
      -->
    <command>host-deny</command>
    <location>local</location>
    <level>7</level>
    <timeout>600</timeout>
  </active-response>

  <active-response>
    <!-- Firewall Drop response. Block the IP for
       - 600 seconds on the firewall (iptables,
       - ipfilter, etc).
      -->
    <command>firewall-drop</command>
    <location>local</location>
    <level>7</level>
    <timeout>600</timeout>    
  </active-response>  

  <!-- Files to monitor (localfiles) -->

  <localfile>
    <log_format>syslog</log_format>
    <location>/var/log/messages</location>
  </localfile>

  <localfile>
    <log_format>apache</log_format>
    <location>/var/www/logs/error_log</location>
  </localfile>

  <localfile>
    <log_format>syslog</log_format>
    <location>/var/log/exim_mainlog</location>
  </localfile>

</ossec_config>

4. 参考

矛与盾安全小组
https://www.ossec.net/docs/
EDR 完全指南：关于 EDR 的那些事儿

网络安全研发随想
关注
专栏目录
EDR（端点、端点检测与响应中心、可视化展现）
让学习成为一种习惯
05-27 1822
端点检测和响应是一种主动式端点安全解决方案，通过记录终端与网络事件（例如用户，文件，进程，注册表，内存和网络事件），并将这些信息本地存储在端点或集中数据库。结合已知的攻击指示器(Indicators of Compromise，IOCs)、行为分析的数据库来连续搜索数据和机器学习技术来监测任何可能的安全威胁，并对这些安全威胁做出快速响应。还有助于快速调查攻击范围，并提供响应能力。一些调查结果：EDR解决方案必须能够检测的无文件恶意活动；
【1. 概述】开源入侵检测系统OSSEC详解
胡杨林
05-19 4944
入侵检测系统（IDS）是用于检测服务器安全的防护系统，通常可分为基于主机（host-based）和基于网络（network-based）两大类。基于主机的入侵检测系统，顾名思义，需要在被监控的服务器上安装agent客户端，agent通过分析本地的日志、端口、进程等信息发现安全漏洞，然后将分析结果通过到中央数据库，该类型的入侵检测系统比较适合大量的服务器监控。而基于网络的入侵检测系统，则主要通过旁路的方式，对流量进行采样分析，从而发现其中的异常，由于一般机房的流量很大，所以很难进行全镜像流量分析，一般都是进行
EDR端点检测与响应
xbn1873942785的博客
04-17 1235
1.什么时EDR :完全不同以往的端点被防护思路，而是通过云端威胁情报，机器学习，异常行为分析，攻击指示器等方式，主动发现来自外部或内部的安全威胁。并进行自动化的阻止，取证，补救和溯源从而有效对端点进行防护。 EDR的四种能力 ： 1.预测：风险评估，预测威胁，基线安全态势 2.防护：强化系统，隔离系统，防止攻击。 3.检测：检测事件，确认风险并确定优先顺序，包含事件。 4.响应：补救、设计规则变更，调查事件 ** 2.EDR如何工作 ** 1) 检测：一旦安装EDR技术，它就会使用先进算法来分析系统上单
网络安全设备——EDR
最新发布
Nove1205的博客
07-14 1740
网络安全中的EDR是什么？
EDR端点检测与响应（终端安全防护）
QuJJan的博客
01-20 1953
端点台式机服务器移动设备和嵌入式设备等。攻击者往往首先利用目标网络中的脆弱端点建立桥头堡，再通过进一步的漏洞利用来构筑长期驻留条件，最终迈向既定目标。端点检测与响应不同于端点的被动防护思路是通过云端威胁情报机器学习异常行为分析攻击指示器等方式。主动发现外部或内部的安全威胁，并进行自动化的阻止取证补救和溯源，从而有效对端点进行防护。举例360天擎终端检测与响应系统。
awesome-endpoint-detection-and-response:端点检测和响应库中需要的工具集合
05-20
出色的端点检测和响应工具 您需要在EDR工具库中使用的工具的集合 -与MISP（恶意软件信息共享平台）紧密集成的可扩展，开源和免费的安全事件响应平台，旨在使SOC，CSIRT，CERT和任何需要处理安全事件的信息安全从业者更轻松地生活被调查并Swift采取行动。 可扩展，开源和免费的安全事件响应平台 强大的可观察分析和主动响应引擎 -威胁饲料汇总，轻松完成 -Zeek是功能强大的网络分析框架，与您可能知道的典型IDS有很大不同。 ：以云的速度进行分布式和实时数字取证。 性能端点可视性。 扩展Osquery的工具： -StreamAlert是一个无服务器的实时数据分析框架，使您能够使用定义的数据源和警报逻辑从任何环境中提取，分析和警报数据。 -对osquery车队柔性控制服务器。 -osquery车队经理。 使用osquery进行事件检测和响应的存储库。 -Zen
开源EDR(OSSEC)基础篇- 01 -设计定位与能力输出
weixin_34391854的博客
12-28 1411
前言 介绍OSSEC之前，不得不提到当前比较热门的技术EDR，近几年随着大数据SIEM系统的发展，EDR(端点威胁检测与响应)技术成为了安全界万众宠爱的骄子，广泛用于威胁检测、攻击溯源和响应处理的安全场景。 而OSSEC是一款开源的跨平台的准EDR入侵检测响应系统，可以实现商业EDR 大部分的功能，可以说OSSEC是所有EDR商业产品的原型，发展至今已经...
ossec-hids：OSSEC是基于开源主机的入侵检测系统，它执行日志分析，文件完整性检查，策略监视，rootkit检测，实时警报和主动响应
02-05
OSSEC是监视和控制系统的完整平台。 它在一个简单，功能强大且开源的解决方案中将HIDS（基于主机的入侵检测），日志监视和SIM / SIEM的所有方面结合在一起。 访问我们的网站以获取最新信息。 最新发行 ossec网站上...
OSSEC-hids 主机入侵检测系统概述
fured的博客
01-19 3400
随着国家对网络安全的重视，国内各个企业也开始在安全方面增加投入，我们公司也不例外。作为防守方，实时了解主机状态（主机文件是否被修改？是否有被入侵？等等）以及实时获取告警信息，是很重要的。及时反制入侵行为、及时修复系统，将入侵扼杀在摇篮阶段。于是引入了HIDS（主机入侵检测系统），网上关于HIDS的文章比较少、内容也不尽完善，下面是我自己在搭建HIDS时的记录。 常用的主机入侵检测系统 AIDE（Advanced Intrusion Detection Environment）：高级入侵检测环境，CIS
OSSEC搭建部署(ossec-server(CentOS7.X)和ossec-agent(CentOS7.X))
weixin_44304678的博客
03-20 9576
OSSEC是一款开源的基于主机的入侵检测系统，可以简称为HIDS。它具备日志分析，文件完整性检查，策略监控，rootkit检测，实时报警以及联动响应等功能。它支持多种操作系统：Linux、Windows、MacOS、Solaris、HP-UX、AIX。属于企业安全之利器。 环境： 两台centos 7虚拟机 服务端：192.168.1.160 客户端：192.168.1.165 第一步： 前提环境准备（在ossec-server端） 关闭selinux，找到SELINUX这一行，修改为disabled [r
agent7：Windows的监视，检测和响应安全性AgentServer
02-09
可以想到的类似工具是OSquery，OSSEC（包括Wazuh），Sysmon等。虽然这些工具很棒，但是您将花费数百小时尝试从它们中获取可操作的数据，因为它们缺少不错的服务器组件。 但是，使用Agent7，您可以立即接收可操作的...
ossec-hids-1.6
09-19
ossec-hids-1.6 HIDS ossec
端点防护 edr_使用端点检测和响应edr概念来保护api
weixin_26747751的博客
09-09 1228
端点防护 edrMore and more organizations provide access to APIs in order to enable a wider audience to use their information. This is why securing API access has become a critical concern. With the increas...
开源EDR(OSSEC)基础篇- 03 - 目录结构与实用工具
weixin_34187862的博客
01-18 2514
前言 上一篇我们着重介绍了OSSEC的部署安装，而本篇主要想挖掘的是OSSEC程序目录放置的各种实用的工具和文件，了解他们是干什么的有助于更深的了解OSSEC的工作机制。 1. 文件剖析 1.1 根目录 程序目录默认安装在 /var/ossec ，对核心子目录重点展示 1.2 子目录 /bin 此目录主要存放OSSEC的可执行程序文件 1.2.1 核...
开源HIDS OSSEC部署与扩展使用(安检)
3569
01-24 4691
0x01 概述 from http://vinc.top/2017/12/26/%e3%80%90%e4%bc%81%e4%b8%9a%e5%ae%89%e5%85%a8%e5%ae%9e%e6%88%98%e3%80%91%e5%bc%80%e6%ba%90hids-ossec%e9%83%a8%e7%bd%b2%e4%b8%8e%e6%89%a9%e5%b1%95%e4%bd%bf%e7
ossec开源入侵检测系统安装配置
woods2001的专栏
04-18 8024
ossec开源入侵检测系统安装配置，文档对server/agent模式进行详细介绍，如果只有一台服务器，可以用local模式，这种方式安装更为简单。   OSSEC简要介绍：  OSSEC 是一款开源的入侵检测系统，包括了日志分析，全面检测，rook-kit检测。作为一款HIDS，OSSEC应该被安装在一台实施监控的系统中。另外有时 候不需要安装完全版本的OSSEC，如果有多台电脑都
部署ossec所踩过的坑
Ubuntu18.04部署honeyd
12-24 1319
ossec 为了学习入基于主机的侵检测系统的监控策略和监控内容，所以想自己部署一个HIDS来学习学习。在Google上一顿乱搞之后，点进了ossec的官网，看到映入眼帘的这几个大字，当即决定就是它了，出来吧ossec！！！ 部署环境 docker+windowsR2 服务端部署在docker内 客户端部署在windows2008R2中 部署过程 在这里只记录一下部署ossec遇到的坑（以备日...
【信息安全】EDR、HIDS、NDR、MDR、XDR 区别与联系
热门推荐
Keylion ，Your Hero
04-10 1万+
随着安全态势的发展，为应对不同的安全防御场景需求，安全产品层出不穷，各大安全厂商也争先推出自家的安全产品/平台，这就导致产品种类繁多，信息量大而杂，本篇博文重点讲解EDR、HIDS、NDR和XDR的区别与联系，与各位共勉。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值