wazuh常用内容、防御sql注入

目录

安装wazuh

常用内容

检测sql注入

主动响应

---

安装wazuh

本地测试的话建议用ova文件，直接导入虚拟机就能用了

官网：Virtual Machine (OVA) - Installation alternatives

常用内容

目录位置：/etc/ossec

配置文件：/var/ossec/etc/ossec.conf

告警信息：/var/ossec/logs/alerts/alerts.log，有两个格式，json格式是给计算机看的

规则：/var/ossec/ruleset/rules，不建议修改

快速查找一条规则：

[root@wazuh-server rules]# find . -type f -name "*.xml" -print0 | xargs -0 grep -r -i "5557"
./0085-pam_rules.xml:  <rule id="5557" level="5">

添加代理

直接按照wazuh的选项来就可以：     

 

查找代理：

路径：/var/ossec/bin

这个工具可以找到我们的代理，如下：

 

检测sql注入

        先在客户端配置文件中/var/ossec/etc/ossec.conf添加要监控的日志

<ossec_config> 

<localfile>
    <log_format>apache</log_format>
    <location>/var/log/httpd/access.log</location>
  </localfile>

</ossec_config>

在服务端不用操作，因为相关规则都写好了的

然后在客户端模拟下攻击：

 日志明显已经记录下来了：

看wazuh的监控：

 发现提示

主动响应

        要在服务端的配置文件上配置：

这是主动响应的位置，这些命令就是要执行的内容，不调用是无法使用的，所以我们自己写的主动响应规则需要按需求来调用这些命令

 模板：

<ossec_config>
  <active-response>
    <disabled>no</disabled>
    <command>host-deny</command>
    <location>defined-agent</location>
    <agent_id>001</agent_id>
    <level>10</level>
    <timeout>180</timeout>
  </active-response>
</ossec_config>

这里使用的是level触发，能管到所有达到这个等级的代理客户端

如果用<rules_id></rules_id>来触发的话可以更精确

这里用rules_id写然后添加进去

        

这个31103和31171是在提示告警的时候触发的，这样就能精确匹配上了

重启服务然后再测试改成的sql注入，发现无法访问了

再去看iptables就能发现IP已经被加进去了（后面会根据timeout把ip放出来）

如果手动操作的话，就得看日志，再手动添加进防火墙，效率低下、繁琐