《开源OSSIM企业运维疑难问题解析》
《Troubleshooting OSSIM Enterprise Network Maintenance》
时光荏苒、日月如梭。如今看到2008年写的技术文章到现在已经10年了,在此期间每周我都会把工作中遇到的各种技术问题总结下来。写博客是一种向外界传递个人观点和兴趣的一种方式,而兴趣是写作动力源泉,多年来坚持不懈的创作,换来了丰厚的回报。2018年我的第五本技术专著即将面世。
图书简介:
本书共分22章,通过本人历时两年时间创作而成。重点讲解了SIEM与网络安全态势感知技术、OSSIM部署、系统安装维护技巧、OSSIM工作原理、传感器设置、插件处理、事件过滤、可视化报警、OSSIM数据库、***检测系统、漏洞扫描评估系统、中间件、日志采集与关联分析技术、资产管理、流量监控和高可用管理、OSSIM前端汉化技术、抓包分析与压力测试等OSSIM平台相关的疑难杂症处理方法,精选了安全运维人员在安装、使用、开发过程中会遇到的进千个疑难杂症,进行详细的解答,本书撰写形式新颖,采用针对性很强的问答方式并附有直观性的插图,阅读趣味性强,特别适合初中级OSSIM工程师参考学习。
检验你对OSSIM的了解程度:
为了检验大家对OSSIM系统的了解程度下面例举了一些简单的测试题。如需参考问题答案,大家可开始《开源OSSIM企业运维疑难问题解析》的学习。
李晨光 作品
目 录
Q007 SIEM中的安全运维监控包含哪些主要内容?. 18
Q013.如何手动更新IP信誉数据,如何查看这些数据?. 26
Q015 为什么在浏览器中无法显示由Google地图绘制的AlienVault IP信誉数据?. 27
Q017.OSSIM所使用的谷歌API密钥在什么位置?. 28
Q018已在OSSIM系统中添加OTX key,为何仪表盘上没有显示?. 28
Q019 将已申请的OTX key,导入OSSIM 系统中,为何提示连接失败?. 29
Q023 如何利用OSSIM系统内置的威胁情报识别网络APT***事件?. 30
Q024. 简述OpenSOC组成结构及主要功能,OpenSOC和OSSIM之间的区别是什么?. 31
Q025. Apache Metron是新生代的OpenSOC吗?部署难度大吗?. 32
Q028什么是Gartner魔力象限图?如何读懂这张图?. 36
Q030.Ossim能安装在Windows平台上吗?. 38
Q032. 如何保证OSSIM Server和Sensor之间发送数据的安全性?. 38
Q035堡垒机的syslog日志能否转发至OSSIM统一存储?. 39
Q038.OSSIM平台属于CPU密集型(计算密集型)还是I/O密集型系统?. 40
Q040.OSSIM平台有几类系统用户,分别用来启动哪些进程或服务?. 40
Q041. kali Linux和ossim有什么区别?. 40
42.安装OSSIM Server组件时是否包含了Sensor组件?. 40
Q044.搭建一个完整的OSSIM实验环境需要哪些设备?. 41
45 OSSIM能否安装在XEN或KVM虚拟化系统上?. 41
46 OSSIM 支持在OpenStack上部署吗?. 41
49 OSSIM中HIDS、NIDS指的是那几个开源工具?. 41
50 OSSIM server和sensor角色可以互换吗?. 41
51.OSSIM是基于Debian Linux开发,能否安装在其他Linux发型版上,例如RHAS、CentOS、SuSe Linux? 41
52 交换机镜像模式能中利用OSSIM分析多大的流量?如将服务器加装万兆网卡,能否分析万兆流量? 41
54 Ossim能检测到DDOS***吗?能记录DDos***日志?. 42
55.Vmware vsphere 对vswitch 设置混杂模式 、Hype V上设置镜像,跟在物理交换机上做SPAN 三者功效一样吗? 42
58.AlienVault USM中可输出那些类型的报表?. 43
59 OSSIM采用什么语言开发?,若要进行二次开发,需选用何种类型的开发人员?. 44
62 Ossim能用于APT和ShellCode高级***检测?. 45
70.Ossim在阿里云的网络下部署,snort可以抓到整个网络内的流量吗?. 48
72 目前国内哪些企业在应用OSSIM,其规模多大?. 48
73 OSSIM系统中哪些服务是单线程、哪些服务是多线程?. 48
75 如何分析OSSIM系统访问网站的HTTP请求数?. 48
76为什么只能看到OSSIM服务器自身产生的流量,捕获不到局域网其他机器的流量?. 48
77.如何查看ossim-agent进程正在调用的文件?. 49
Q084 OSSIM安装简单能方便实现可视化数据分析,是否意味着对操作人员的素质要求降低? 56
Q087终端控制台上如何区分OSSIM Server还是Sensor?. 56
88.如何查找TCP 40001端口被什么进程监听?. 56
91 如何查找/var/log/apache2/access.log这个日志文件正在使用的进程号?. 57
095. OSSIM USM企业版提供了虚拟机镜像下载,能否安装在物理服务器中?. 59
98.安装时切换到命令行下面的提示信息保存在什么位置?. 60
100.执行alienvault-update升级后,致使原来的配置被覆盖,为什么呢?. 61
101.执行alienvault-update命令升级之后的缓存文件如何清除?. 61
103.为什么OSSIM没有采用最新Linux内核?. 62
104.OSSIM 5.X使用Debian Linux 3.2内核,为什么不升级到4.0内核呢?. 62
105 Admin登陆WebUI权限过大,实际应用中需要受限,OSSIM如何处理这种场景需求?. 62
107.安装OSSIM时能识别硬盘但无法识别网卡该如何处理?. 62
Q108选择OSSIM服务器硬件需要注意些什么问题?. 63
Q110.在下列拓扑中,为何在WebUI页面中显示的SensorIP地址会变成路由器的e0口地址? 64
Q111在物理服务器上安装OSSIM,为什么写入grup数据,会遇到找不到sda设备的情况?. 64
Q112.OSSIM初装是仅配了单网卡,后期添加双网卡用于分析镜像流量该如何操作?. 64
Q113安装OSSIM需要选用多核还是单核CPU?CPU核心数量是越多越好吗?. 65
Q115. OSSIM为何只能识别出2TB以内的硬盘?. 65
Q116.在IBM服务器x3400 M3上安装OSSIM,现在新加一块2T的硬盘在RAID阵列中为什么无法识别? 66
Q117.为什么增加硬盘后做RIAD反而不能识别硬盘?. 66
Q120.虚拟机下安装OSSIM结束后,系统重启,进入到下面图示的界停滞如何处理?. 67
Q121.非正常关机后再启动系统一直停在启动界面如何处理?. 67
Q122.当OSSIM安装完成之后如何设置WebUI初始化设置向导?. 67
Q125. 在OSSIM配置向导中出现无法找到网段内的服务器报错该如何处理?. 73
Q126.若实现不重装系统再次调出WebUI初始化设置向导,如何操作?. 73
Q127.在Hyper-V 3.0中安装OSIM5.4 时到Suricata配置过程中卡住了如何处理?. 74
Q128.混合方式安装OSSIM 5.x发现Sensor状态为Down,为什么?. 75
Q130.Dell PowerEdge R420安装OSSIM5的安装技巧. 75
Q131. 为什么在虚拟机系统中安装OSSIM,当启动系统时出现rng-tools Plymouth 启动报错failed? 76
Q133. Ossim 磁盘空间满导致无法启动该如何处理?. 76
Q134. OSSIM系统中IPMI服务有什么作用?为什么虚拟机启动OSSIM时会遇到IPMI服务启动失败的问题? 76
Q135.若要混合式安装OSSIM,在下图中,需选择那一项?. 76
Q137.安装过程中出现下图中所示的问题,说明了什么?. 77
Q138.通过虚拟机安装ossim时,网卡初始设置为NAT模式,后来改成桥接模式后导致网络不通为什么? 78
Q140.刚装好的系统为什么OSSIM收集到的都是本地日志?. 79
Q142.如何在Ossim 的 rescue mode 模式下操作?. 79
Q143.ossim安装在物理联想服务器上,为什么写grup时总提示找不到sda?. 79
Q144.虚拟机下安装OSSIM,无法找到磁盘如何处理?. 80
Q145.Vware虚拟机环境中,如何为OSSIM安装Vmware Tools增强工具?. 80
Q147.用于分析端口镜像的网卡需要分配IP地址吗?. 84
Q148.Vmware ESXi虚拟机环境中安装OSSIM应注意哪些内容?. 84
149.在宿主机为CentOS系统中安装Vmware workstation 12虚拟机后,再安装OSSIM为什么不适合? 86
Q151.如何在Hyper-V虚拟机下安装OSSIM?. 86
Q153.采用笔记本电脑安装OSSIM时,如何防止其休眠?. 93
157.OSSIM中的update(更新)和upgrade(升级)有何区别?. 98
160.通过浏览器访问OSSIM Server时输入用户,密码后提示口令错误如何处理?. 99
161.若在ossim服务器上启用SELinux服务后果如何?为什么?. 100
162.OSSIM仪表盘典型视图分为几类?有何特点?. 100
163.通过OSSIM v4.3能直接升级到OSSIM v5.4吗? 102
165.OSSIM系统中server.log日志文件有何作用?如遇此文件膨胀到10+GB该如何处理?. 102
167.OSSIM升级过程中,指令upgrade和update有什么区别?. 104
168.OSSIM中IDM表示什么含义如何启动IDS服务?. 104
169.开源OSSIM系统所使用的文件系统有什么特点?有什么局限性?. 105
171.为什么在OSSIM3.1系统上输入ossim-update升级后OCS模块消失?. 108
172.在OSSIM消息中心为什么总显示internet连接中断?. 108
173.ossim系统里的软件包中包含“amd64”字样,表示什么含义?. 108
176.Ossim系统当使用update升级后的deb文件位于何处?. 111
179.如何分配OSSIM系统中tmpfs文件系统大小?. 113
181.如何通过删除日志来释放OSSIM平台上的磁盘空间?. 113
183.系统反应迟钝,WebUI刷新数据很慢,此时SSH连接很卡,如何排查?. 116
184如何记录WebUI中SQL查询日志信息的情况?这些内容就在何处?. 116
187.服务器状态为DOWN,是什么原因导致,故障日志记录在何处?. 116
192.如何调整Ossim 系统管理员密码登录策略. 119
197.分布式OSSIM系统环境中如何启动和关闭系统?. 121
198如何用xshell、secureCrt远程登录OSSIM 122
200.当使用apt-get install 安装软件过程中强行中断安装,下次再执行安装脚本是报告数据库错误,如何解决? 123
201.通过apt-get install 安装程序时遇到“Could not get lock /var/lib/dpkg/lock”提示,这是由于什么原因造成?如何解决? 124
202.Ossim系统中/var/run目录下的pid文件有何作用?. 124
207.如何查看当前登录ossim系统的用户session ID?. 127
208首次安装OSSIM,登陆WebUI后提示“Operation was not completed due to a database error”一般是什么原因? 127
210.OSSIM中下如何添加和删除一条默认路由?. 128
211 当定期执行脚本当使用”crontab –e”编辑时,无法退出编辑环境如何处理?. 128
213.如何查询/var/目录下2级子目录的大小,并且按升序(数据从小到大)排列?. 128
214.在OSSIM Server中将单个主机名映射到多个IP可以吗?. 129
215在OSSIM系统在举例说明,UUID有什么作用?. 129
216.Debian(Jessie8)GUI(GNOME)允许Root登录/自动登录并安装X-window环境? 129
221.删除OSSIM系统里的文件时,磁盘空间不释放如何处理?. 133
227.OSSIM4.5之前的老版本出现WinScp无法登录OSSIM系统改如何处理?. 135
228.在低版本OSSIM中,如何让控制台支持高分辨率?. 136
231.在OSSIM安装最后阶段为什么停在那里不动?系统里发生了什么情况?. 137
237.如何为OSSIM安装Webmin管理工具?. 147
238.如何为OSSIM安装PhpmyAdmin工具?. 147
241.在OSSIM WebUI login.php界面中,在登录验证前对用户名和密码如何进行加密的?. 149
242.OSSIM登录界面中如何实现用户session登录验证的安全?. 149
244.Ossim Web站点根目录位置由什么配置文件定义路径在何处?. 150
245.OSSIM系统每次启动为什么显示”apache2 [warn] NameVirtualHost *:80 has no VirtualHosts“? 150
246.Apache出现“Could not reliably determine the server’s fully qualified domain name”提示如何处理? 150
247./usr/lib/apache2/modules/下的模块mod_wsgi.so有什么作用?. 151
249.Ossim中PCIDSS和ISO 27001代表什么含义?. 152
251.如何使用grep命令去掉配置文件的注释行和空格行?. 153
253.如何在Server/sensor中发现隐藏的进程或端口?. 153
Q258.画出OSSIM服务器和后端数据库分离拓扑图?. 159
260.根据OSSIM部署图说明OSSIM三层体系结构. 162
261.图中这个风险数值如何计算出来?表示什么含义?. 164
263如果分布式OSSIM系统的Sensor出现问题将影响那些模块的工作?. 164
264.对于高度复杂的OSSIM平台而言采用了什么技术来实现各个子模块之间消息的高速传输? 164
266.配置文件/etc/ossim/ossim_setup.conf记录了哪些内容?有什么作用?. 165
269.OSSIM中的检测器(Detector)包含哪些内容?. 168
272.OSSIM中的SPADE(统计包异常检测引擎)起到什么作用?. 171
273.OSSIM 代理(Agent)采用什么语言开发,作用是什么?. 171
274.代理Agent与插件Plugin有什么区别?. 173
275.Framework有什么作用?如何查看其工作状态?. 173
276.修改了OSSIM Server配置文件config.xml后如何重新启动引擎?. 173
278.OSSIM USM和Sensor安装模式他们安装包有哪些区别?. 177
279.简述ossim Server和Sensor通讯端口及作用。. 179
280.Ossim系统是把收集来的数据都统一存储到数据库里吗?. 180
283.如何把文件拷贝到ossim平台上?如何把ossim里的文件拷出?. 180
284. Ossim中Agent插件定义在那个目录?. 181
285. 如何查看Ossim系统正在使用的插件列表?. 181
287更改配置后,如何在命令行下重启动ossim?. 181
288.怎样查看系统里安装了哪些Ossim的软件包?. 181
289.如何列出Ossim分布式系统的活动代理信息. 181
290. 当Ossim系统安装后,如何知道安装了哪些Ossim包或alienvault包呢?. 182
291.如何将SIEM显示***日志添加到数据源组中?. 182
292.Ossim Server启动的关键服务有哪些?如何启动?. 182
296.Alarm报警中将网络***模式如何分类?. 185
298.Ansible默认使用什么协议管理传感器?这样设计的优点是什么?. 187
299.SSH和Ansible服务在OSSIM中起到什么作用? 187
302传感器的作用是什么?其功能范围包括哪些内容?如何查看传感器状态?. 195
303.当传感器鼓掌时状态会打叉,此时能否查询传感器上加载插件的状态吗?. 195
305.如何实现将Docker容器进行OSSIM传感器,以实现将容器放在任何客户端系统中?. 196
306.OSSIM的Ansible提供了哪些模块?. 196
309.为了在OSSIM的Web中显示谷歌地图,需要在Ossim服务器上连接***,还是客户机上连接***? 199
310如何让ansible来获取远程主机运行时间,在线用户平均负载信息?. 199
311如何让ansible把脚本分发到远程主机并执行?. 199
312如何添加、删除sensor?为何有时候会删除失败的情况?. 200
314.OSSIM采用何种技术解决各种网络安全设备日志格式及描述内容不统一的问题?. 202
315.传感器中负责归一化处理的插件类型及功能介绍. 202
317.举例说明OSSIM Agent的插件采集日志流程. 203
318.为什么在数据源中找不到Extreme交换机. 206
319.在Apache插件中如何定义Apache访问日志的正则?举例说明插件匹配过程?. 206
320.常见OSSIM 数据源插件的日志存储位置有哪些?. 206
321.下图中所示的“Data Sources”列出的数据源能否自己添加?如何添加?添加的数据源如何看到效果? 208
322.如何将plugins中location定义的文件写入两个文件中?. 208
323.OSSIM支持华为和H3C网络设备插件吗?. 209
327.OSSIM采集插件分为几大类,采集插件通过什么协议采集数据?. 210
328.插件进程ossim-agent被手动停止后之后为何会自己重启?. 211
329.在OSSIM 传感器中SNORT和suricata插件能同时启用吗? 212
Q329.如何把SIEM控制台中发现的重要日志加入知识库?. 214
330.SIEM控制台事件查看视图有几种观察模式?各有什么区别?. 216
332.在SIEM控制台事件的表单中显示“N/A”表示什么意思?. 217
335.OSSIM控制台中出现“AV-FREE-FEED”开头的报警,表示什么含义?. 219
340.SIEM控制台下的这个事件数量记录在什么数据库的什么表中?. 232
342.如何在Web页面清理SIEM数据库中的事件?. 233
343. 在Ossim中无法显示SIEM日志如何处理?. 234
344.在SIEM日志显示中常出现0.0.0.0的地址代表什么含义? 234
345使用OSSIM时,在SIEM控制台发现一些事件的源、目的地址为0.0.0.0 234
346.用OSSIM监控多个VLAN的服务器时为什么不能显示FQDN名?. 234
347.SIEM日志显示中出现0.0.0.0地址的含义. 235
350.什么是AVAPI事件?如何过滤掉AVAPI事件?. 237
352在下图中为何除了snort之外这不会显示其它数据源?. 240
353.OSSIM WebUI中出现EPS表示什么含义?. 241
355.OSSIM中将报警alarm事件几类,分别表示什么含义?. 242
360.如何通过Metasploit工具触发Alarm报警?. 257
361.如何通过Ossim+Metasploit发掘Windows XP的Ms08-067漏洞? 261
362.如何通过Ossim实现SSH登录失败告警?. 264
366.服务器遭遇暴力破解时会发出何种报警?P550 271
368.OSSIM后台数据库能否可切换为Oracle或MongoDB吗?. 273
369.采用SecureCRT访问数据库出现乱码是什么原因?. 274
370采用phpmyadmin访问数据库时为什么会出现乱码?. 274
371.在下图所示中,开机时Mysql数据库启动失败failed由什么原因造成?. 275
372.如何在OSSIM服务器上访问数据库?常用命令包含哪些内容?. 275
374.OSSIM中的SQLite数据库有什么作用?如何访问?. 276
375.RRD Tool与数据库MySQL之间有什么区别?. 276
376.用户能修改Ossim系统中Mysql数据库密码吗?. 277
377.OSSIM5中运行多少Mysql数据库实例?各有什么作用?. 277
378.如何将SQL文件插入到OSSIM数据库中?. 277
380.如何把一个.sql.gz文件导入到数据库中?. 278
382.当Ossim 4.x系统数据库发生损坏如何重建数据库. 279
384. 如何查询Ossim数据库的host开头的表。. 279
389.MySQL出现""Access denied for user 'roo'@'localhost' (using password:YES)提示如何处理? 282
390.如何利用mysqlreport来监控数据库性能?. 282
391.系统自动备份时间设定在什么时间?这个时间如何修改?. 283
392.Ossim 中的数据库能否从server 中剥离出来运行在独立的服务器上?. 284
393.Ossim数据库里event数据表和acid_event表中的数据有什么区别?. 284
394.为什么使用“mysql –u root –p pass”命令进入系统后可以使用grant授权而使用ossim-db进入数据库,授权无效呢? 284
395. Ossim 系统中出现“MySQL :ERROR 1040:Too many connections”情况如何处理?. 284
397.Ossim系统出现acid表错误时如何处理? 285
399在调试MySQL时出现” access denied for user 'root'@'localhost' using password yes”报错该如何处理? 285
400.在使用ossim-db命令时出现mysql“Access denied for user 'root'@'localhost'”的问题如何解决呢? 285
402.常见Ossim数据库分析工具那几种?各有什么特点?. 285
404.Mysql进程占用CPU过高的时候,该从哪些方面下手进行优化?. 287
406.如何用mysqldump备份OSSIM数据库?. 288
407.如何用xtrabackup备份OSSIM 数据库?. 289
409.OSSIM后台数据库MySQL负载高居不下如何处理?. 293
410.如何用MySQL Workbench分析MySQL数据库?. 293
411.OSSIM系统大量使用XML技术来存储数据,XML有何优势?. 299
412.当OSSIM系统数据库发生损坏时,如何重建数据库?. 299
413.如何查询OSSIM数据库的host开头的表?. 299
413.如何修改表alienvault的字段属性?... 295
413.如何对原有表进行增、删、改操作?
414.如何查看OSSIM系统的SIEM数据库备份情况?. 299
416.如果负载过大在OSSIM 系统中出现“MySQL :ERROR 1040:Too many connections”情况如何处理? 300
418.OSSIM系统出现acid表错误时如何处理? 301
419.能修改OSSIM系统中MySQL数据库密码?. 302
422.如何加强OSSIM的MySQL数据库安全?. 304
423.如何从数据库中提取未加密的资产ip 地址列表?. 304
424.开源OSSIM系统中WebUI中Active Event Window(days)表示什么含义,该值设定为多大合适? 305
425.如何显示acid_event表中的前5条记录?. 305
429.如何在OSSIM数据库中查询OSSIM系统配置路径、端口、式样及用户配置信息?. 307
430.如何在OSSIM数据库中查询查询自定义报表类型及调用PHP文件路径?. 307
431.如何在OSSIM数据库中查询仪表盘类型参数定义,引用图片位置? 307
436.查询从事件中提取数据,包括data_payload等. 308
437.如何统计acid_event表中sudo事件报警数量?. 309
Q001.Snort检测规则存储在何处?如果一旦触发规则snort将会产生几种动作类型?. 18
Q002.Snort2.9版本中主要有哪些预处理插件,各有什么功能?. 18
Q006.当snort检测到匹配的数据包时,有几种处理方式?. 23
Q008.Snort如何检测Chargen/echo DOS***?. 23
Q009.如何应用snort的Packet logger模式将捕获到的信息,记录到磁盘某目录下?. 24
Q013.如何将snort告警存入MySQL数据库?. 29
Q014如何将MySQL中的snort报警通过Web方式展示?. 33
Q015.OSSIM 的PHP IDS组件采用什么方法来接收和分析数据?. 34
Q016.IP碎片***对Snort会产生哪些危害?. 35
Q017.请解释下图中Snort规则中msg、content、threshold、reference等选项的含义。. 35
Q018.OSSIM中如何管理引用类型(REFERENCE type)?. 37
Q019.外部引用REFERENCE在OSSIM安全事件管理中起到什么作用?. 38
Q020.OSSIM5中的Suricata支持PF_Ring吗?. 39
Q022.如何利用DAPAR2000数据集重构***场景?. 40
Q023.Snort中用什么参数查看据链路层的包头信息?. 40
Q024.Snort的输出插分为几类,各有什么作用?. 42
Q025.Snort有可能产生瓶颈的输出插件有哪些?. 48
Q026.sid-msg.map和gen-msg.map有什么区别?. 48
Q027.OSSIM4.12检测器中snort状态是DOWN,而suricata是UP这种状态正常吗?它们能同时为UP状态吗? 48
Q028.在Snort的配置文件sid-msg.map有何作用?. 49
Q030如何找出/var/log/suricata目录下24小时内访问过的日志并且找到后立即删除?. 49
Q031.在/etc/snort/rules/local.rules文件添加了条规则,为何不生效呢?. 50
Q036.如何调整Suricata同时处理数据包的数量?. 52
Q037.Suricata由几个线程和模块组成?OSSIM采用了何种模块输出模式?. 52
Q040.当suricata检测到可以数据包时,会以二进制格式将其存储到文件,文件名叫什么?通过什么程序读取它? 54
Q041.经过多个HTTP代理服务器后的IP将会隐藏(记录代理服务器的IP),suricata通过什么参数来记录真实客户机的IP? 54
Q042.让suricata记录所有http日志该如何修改配置文件?. 54
Q043.如何保存经suricata检测的所有数据包?. 54
Q044.如何启用suricata服务的Debug日志?. 54
Q045.如何将suricata的告警信息输出到syslog文件中?. 55
Q046.数据包在suricata检测引擎(detect-engine)中是如何匹配的?. 55
Q047.Suricata检测引擎的配置属性分几种?. 55
Q048.在一台8核的OSSIM服务器上如何改善Suricata处理性能?. 55
Q049.在高速复杂网络环境中如何提高Suricata规则检测时的数据分片传输效率?. 55
Q050.在suricata的stream引擎中对数据包重组需要占用CPU资源,为了避免无限制的重组数据包,应该修改什么参数对其进行限制? 57
Q051. 能在OSSIM上收到suricata警报,但不能在WebUI上收到为什么?. 57
Q052.系统有两块网卡,一块用作admin管理接口,一块用作嗅探网卡,这个配置保存在什么配置文件中? 57
Q053.suricata的日志文件suricata.log保存在什么路径下?该路径由什么配置文件来定义?. 57
Q054.OSSIM下Suricata 5工作模式是AF_PACKET还是PF_RING?. 57
Q055.OSSIM下的suricata工作在什么抓包方式?. 58
Q057.如何更新AlienVault NIDS规则和签名?. 59
Q058.Snort能作为IPS使用吗?部署方式是什么?. 60
Q060..Ossim系统中snort规则库在什么位置?. 60
Q062.OSSIM 3中PF_RING有哪几种工作模式?. 61
Q063..如何手工修改Ossim系统的Snort规则?. 61
Q064..在Ossim中Suricata与snort有何区别?. 61
Q065..如何启用新的ET(Emergin Threats)规则?
Q068.将iptables和***检测软件的集成是如何实现?. 68
Q071.OSSEC Agent主要由哪些进程组成各有什么作用?. 74
Q072.简述Ossec server/agent工作流程及其关键进程的作用。. 74
Q072.如何实现通过ODBC方式远程访问OSSIM Server的Mysql数据库?. 75
Q073.OSSIM单台服务器能管理多少OSSEC客户端?. 75
Q074.什么是Agent和Agentless监控方式?. 75
Q075.OSSEC Server重新安装之后 Agent需要重新安装吗?. 75
Q077.OSSIM 中HIDS控制状态里有Client-syslog、Agentless、Debug三项处于没运行和停用状态,这样正常吗? 76
Q079.Ossec Server端通过什么技术将策略文件分发到agent? 77
Q080.由于磁盘空间满,造成OSSEC进程停止故障分析案例。. 77
Q081.画出分布式环境下OSSEC和Agent通讯的数据流图. 78
Q082.一条高风险警报与事件ID=30042,它表示什么含义?. 79
Q083. Linux下如何安装Ossec Agent?. 79
Q084.如何在Debian Linux上安装OSSIM代理?. 82
Q085.Linux下安装ossec agent报错如何解决?. 82
Q086.如何在漏洞扫描任务中排除某个端口或某个IP地址?. 83
Q087.Nmap扫描和Openvas扫描有什么区别?. 83
Q089.OSSIM的资产扫描模块的界面中怎么没有nmap扫描的按钮?. 84
Q090.如何在Windows 8环境下安装OSSEC Agent?. 84
Q091.负责控制OSSEC Agent的配置文件位于何处?. 88
Q092.出现OSSEC Agent无法连接服务器该如何处理?. 88
Q093.Windows 2012 如何安装Ossec Agent?. 89
Q094.在windows 7/8/2012 上安装ossec agent需要客户端上关闭防火墙吗?. 95
Q095.如何在Web页面查看ossec-agent状态?. 95
Q097.WebUI中OSSEC调用规则的后台文件位于何处?. 96
Q098.如何监听ossec-server和agent之间的数据通讯?. 97
Q099.安装Ossec Agent时,所生成的EXE二进制文件,是用什么代码写的?. 97
Q100。Windows平台上OSSEC Agent已安装,但在OSSIM Server中没有接收到日志怎么解决? 97
Q102.如何读懂/var/log/suricata/目录下JSon文件内容?. 98
Q104.为什么有时候ossec agent无法下载? 99
106.当OSSIM利用OpenVas扫描到漏洞之后,能否自动修复漏洞?. 103
109.CVE、CNCVE 、NVD、OSVDB、BugTraq 、SecurityFocus表示什么含义?. 103
113.OpenVAs脚本采用什么语言编写?请描述脚本加载过程? 106
115.漏洞扫描器中的脚本如何对目标进行安全检测?. 107
117.OpenVas的扫描器openvas-scanner调用的私钥证书文件位于何处?. 108
118.OpenVas 服务器端有几个主要模块,它们之间工作流程如何? 108
119.OpenVAs扫描器出现“Failed”报错提示表示什么含义?. 109
123.更新了威胁数据库后,为什么在WebUI中查询不到最新日期的威胁库数据?. 113
124.采用Nessus 与openvas扫描效果有什么区别?. 113
125.OSSIM使用OpenVAS扫描系统,可为何还保留Nessus? 114
126.使用alienvault-update命令对系统升级之后出现Openvas无法正常工作怎么解决? 115
128.漏洞扫描时出现“Failed to authenticate”验证失败问题如何解决?. 116
130.扫描资源池之外的机器会出现什么情况?如何处理?. 117
132.OSSIM系统中设置漏洞扫描周期多长时间合适?. 118
133.用alienvault usm能检测出heartbleed漏洞吗?. 119
134.OpenVAS输出报告中用哪几种颜色对漏洞进行分类,各表示什么含义?. 119
第十四章 Memcache、RabbitMQ与Redis协同工作. 122
137.Memcached和memcache分别表示什么含义?. 123
140.OSSIM中memcached缓存服务是多线程还是单线程?. 123
145.RabbitMQ在OSSIM系统中起到什么作用?. 127
146.如何查询OSSIM服务器上消息队列以及连接信息?. 127
149.OSSIM中的RabbitMQ如何开启Web管理后台?. 128
150.OSSIM为何要引入Redis内存数据库?采用key/value存储?. 129
151.OSSIM Server使用RabbitMQ有何优势?. 130
155.如何查看Redis服务器实时转储收到的请求?. 131
156.如何进入/退出erlang shell界面?. 132
160.iptables日志有几种记录形式?各有什么区别?. 135
161.如何将iptables日志转发到指定文件?. 135
163.OSSIM的基于日志的报警如何实现?OSSIM中的syslog和OSSEC上传的日志文件之间有什么关联? 137
167.哪些Cisco IOS镜像适合GNS3仿真环境?. 138
171.如何将WebUI菜单中的Raw Logger替换为ELK?. 139
172.如何将ELK平台的日志转发到OSSIM平台?. 139
174.如何通过Snare把Windows事件转发至Linux日志采集服务器?. 140
175.如何用Syslog-Slogger测试syslog服务器?. 142
183.将Windows日志转换为syslog日志的工具有哪些?. 149
184.Nginx支持syslog日志转发功能吗?. 149
187.如何将Windows日志转换syslog?有哪些工具可以实现?. 151
188.如何利用evtsys工具采集Windows日志并转发到syslog服务器?. 151
190.加密的日志能由Sensor收集并由Server分析吗?. 153
191.如何将Squid的访问日志 access.log 转发到OSSIM?. 153
192.OSSIM接收日志时才有的是syslog协议还是rsyslog协议?它们主要区别是什么?. 154
193.syslog和rsyslog协议能在一台机器上同时使用?. 154
194.如何用Rsyslog将日志发送到不同的日志收集器中?. 154
196.怎么让Linux客户机通过syslog 发送日志到Ossim Server?. 155
199.OSSIM USM系统中如何从WebUI界面中导出日志?. 156
214.在交叉关联规则中显示数据源及插件种类为什么比较慢?. 177
215.Risk & Priority & Reliability三种在关联分析时有何关联?. 178
216.在仪表盘中Risk显示的Risk Metric的C、A值表示什么含义?. 179
217.网络评估在给主机风险评估的Risk的C、A值会发生哪些变化?这种变化反映出什么问题? 181
220.如何映射同一***模式下snort和ossec产生的重复报警? 184
224.SIEM控制台是如何将不同数据源的事件进行聚合处理的?. 191
226.OSSIM关联分析引擎分为几种类型?可靠性和风险值在里面起到了什么作用?. 195
229.为什么说可信度Reliability的值是动态变化的?. 198
230.内网一台邮件服务器资产值设定为5,Priority和Reliability的默认值设置为3,试问这台服务器Risk值为多少? 198
232.能否将企业版 OSSIM自带的规则导入到开原版中使用?. 201
233.Ossim 的关联分析引擎是否能处理第三方安全产品的日志?. 201
234.OSSIM关联引擎有何作用,工作过程怎样?. 201
235.Ossim平台中需要对资产的哪些特征进行监控?. 204
237.如何WebUI中查看OSSIM操作系统类型和安装软件分类?. 205
240.资产扫描有6个选项 代表了不同级别,级别越高,扫描速度越快,每种选项表示什么含义? 207
242.资产扫描时为什么会出现扫描的操作系统和实际操作系统版本不一致的情况?. 208
243.为什么我扫描192.168.1.0/24网段内的资产可结果包含10.0.0.0/24网段的机器呢?. 208
247 若要实现总部可以看到所有分公司的资产和事件,分公司只能看到自己的资产和事件,怎么操作? 213
248.在OSSIM5的Web UI中如何批量删除资产?. 213
250.OSSIM里的prads程序的作用是什么?. 215
251.在下图中所示,Prads启动失败如何解决?. 215
252.当监控资产过多时,系统页面为什么刷新会非常慢?. 216
255.如何将OSSIM产生的告警转发到iTop的CMDB?. 225
258.Itop安装过程中出现“ITop is read-only iTop is temporarily frozen,please wait… ”系统提示,如何处理? 228
259.Nagios插件存储在什么位置?什么格式?. 229
260.当调整了Nagios配置文件后,如何检验配置是否正确?. 229
261.在Ossim中monit与Nagios服务有什么区别?. 229
262.RRDtool代表什么含义在OSSIM中起到什么作用?. 229
265.OSSIM 中集成的Nagios插件在什么位置?. 231
267.如何利用Nagios插件来检查内存和交换分区?. 232
268.添加Nagios监控主机后,打开WebUI界面报错该如何处理?. 232
269.Nagios中显示的返回码包括哪几种表示什么含义?. 234
270.Ntop与SNMP检测网络流量相比有什么优势?Ntop流量采集方式有什么特点?. 234
271.网络中数据包大小的变化的背后隐藏了哪些玄机? Ntop如何统计流量的变化?. 234
272.用Ntop分析网络数据时,需要在交换机上设置端口镜像吗?. 236
274.在Ntop中通过什么功能来识别本地主机在网络中提供的服务?. 237
275.在Ossim系统中多传感器的情况下如何选择Ntop的默认传感器?. 237
276.打开Ntop时出现“Sensor not available”提示如何处理?. 238
279.分布式Sensor中设置多块网卡,在使用Ntop时提示“Sensor not available please select for the above dropdown”该如何处理? 240
280在NTOP设置Loca Network Traffic Map时出现下面的错误提示如何处理?. 240
282.当蠕虫爆发时,其流量协议以及数据包大小分布上都会发生哪些异常Ntop如何感知这些变化? 241
283.如何监控OSSIM Server和Sensor的磁盘、网络、系统进程、Postfix?. 243
284.如何通过Ntop显示每个监控服务器IP流量大小?. 246
286.监控系统显示的时间和网络设备里的时间对应不上如何解决?. 247
286.为什么不能通过命令行方式,直接重启netflow?. 249
287.重启netflow 为什么没有service netflow restart这条命令?. 249
288.OSSIM服务器中的Netflow模块,由几个工具组成分别有什么作用?. 249
289.Nfdump模块由那些进程组成?各有什么功能?. 249
290.Netflows数据流存储路径在什么配置文件中定义?修改配置后没生效如何处理?. 249
291.怎样才能在数据库中查询到NetFlow的UUID?. 250
292.Sensor中如何启用Netflow功能?. 250
293.在OSSIM分布式系统中Netflow数据存储在Server端,还是Sensor端?. 251
294.OSSIM系统中如何分析Netflow数据包?. 251
295.上图中“LIST LAST 500 SESSIONS、TOP 10 SRC IPS、TOP 10 DST IPS”等参数表示什么含义? 252
296.分布式环境下如何监测Netflow数据流?. 252
297.NetFlow数据是以UDP协议传输还是TCP协议?. 255
298.NetFlow采集数据,需要在交换设备上设置端口镜像吗?. 255
299.相对于基于Payload的恶意代码检测方法而言,NetFlow的检测方法有何优势?. 255
300.OSSIM平台通过NetFlow采集的数据存放在什么位置?. 256
302.NetFlow采集的抽样数据保存多长时间?. 258
304.Netflow数据集能显示到Web UI的仪表盘吗?如何操作?. 258
305.在分布式部署OSSIM环境中多个Sensor之间如何区别来自不同Sensor的Netflow数据?. 259
306.OSSIM平台上利用NetFlow收集路由器流量会对路由器正常工作造成影响吗?. 259
307.OSSIM平台上将NetFlow数据与Google地图结合有什么优点?. 260
308.常见流量监测技术有哪些,使用哪些工具检测?. 260
310.NetFlow能否检测到SYN flooding***?. 261
311.NetFlow流量采集通讯端口采用TCP还是UDP?. 261
317.NetFlow 与sFlow 的协议有何区别?. 266
321.OSSIM5.4的Web UI菜单调用源码位于何处?. 272
326.若希望安装一套中文的OSSIM,可以在界面选择语言是选择ChineseTraditional中文(繁体)呢? 279
327.WebUI汉化后的界面,如使用IE10浏览器应该如何选择编码方式才能显示中文?. 279
329.在OSSIM的终端界面上如何能显示和输入中文字符?. 280
332.在WebUI操作中如果出现上传文件超过500KB,提示需要修改什么文件?. 281
333.如何查看PHP中安装了哪些扩展模块?如何查询PHP版本信息?. 281
334.Windows环境下使用什么工具编辑 php文件?需要注意些什么?. 281
335.SecureCRT远程连接到OSSIM系统直接修改汉化PHP代码,在浏览器显示都是乱码?. 282
341.下图中SECURITY标签调用的那个PHP文件?. 285
342.SIEM控制台上,后台删除事件的子程序位于何处?. 285
345..如何添加菜单?
346.如何添加仪表盘配置项中新增字段?
347.OSSIM系统中的ADODB包有什么作用?其配置文件在什么位置?. 287
348.在OSSIM WebUI仪表盘里,雷达图主要表现手机数据源的传感器收集事件的数量,问题是在这个雷达图中,可以描述多少个不同的Sensor? 287
349.在下图所示的雷达图中可描述多少个不同的sensor? 288
350.下图中出现的generating report,please wait…的文字在哪儿修改?. 288
351.下图中椭圆框中文字Gooooooo在哪儿修改?. 289
352.如何将Loading Widget修改成中文字符呢?. 289
354.如何修改WebUI仪表盘的名称,如下图红圈内的字符?. 293
355.下图中的Alarm数据每隔300秒刷新一次,如何修改刷新时间?. 295
356.OSSIM的WebUI如何实现动态加载页面?. 295
357.源码中<meta http-equiv="Content-Type" content="text/html:charset=UTF-8">表示什么含义? 296
360.jquery插件中的/usr/shre/ossim/www/js/geo_autocomplete.js脚本有什么作用?. 297
361.脚本jquery.dynatree.js有什么作用?发生故障会影响WebUI的那些功能?. 297
369.如何测试系统的IOPS(Input/Output Per Second)?. 304
370.当OSSIM服务器产生大量sockets连接时,如何查看全局统计信息?. 305
371.OSSIM系统空间不足在哪里查找大型文件?. 306
378.如何测试OSSIM WebUI页面的响应速度?. 312
381.如何利用Apache自带工具ab测试OSSIM 响应速度. 315
382.如何详细了解OSSIM系统进程的网络带宽占用情况?. 316
383.OSSIM下如何使用nload软件监控流量?. 317
384.为OSSIM系统进行压力测试tcpreplay 317
385.OSSIM中如何应用hping3进行测试?. 318
389.如何在 Ossim Server上安装Cacti?. 323
390.OSSIM Sensor上如何安装Zabbix?. 324
391.Ossim是否可以扩展整合ganglia、zabbix等其他流行监控软件数据?. 325
398.通过Traffic Capture抓包存放在哪儿?. 329
399.若在千兆网络环境中存储30天完整抓包数据,需要多大硬盘空间?. 330
401.如何用tcpdump监听端口间的数据通讯?. 330
402.怎么用Tcpdump分析Syslog数据包?. 331
403.如何用tshark工具实现以每秒间隔,统计 IP 地址 192.168.120.78 的封包、字节数量?. 331
404.如何利用dumpcap工具来捕获ICMP数据包. 331
406如何嗅探所有40009端口的数据包?如何知道TCP 40009由什么进程在监听?. 332
407.采用OSSIM 监控千兆网络环境会遇到哪些问题?. 332
408.ossim采用了哪些捕获工具?有什么特点?. 332
409.SecureCRT远程连接到OSSIM进行抓包,如何显示从网卡eth0获取的,除了TCP 22端口之外的全部流量? 332
410.ossim的tcpdump采用何种抓包模式?. 332
411.如何利用Traffic Capture功能远程排除网络故障?. 332
412.在使用OSSIM WebUI下的Traffic Capture功能时提示“This traffic capture is empty”如何处理? 333
413.分布式OSSIM系统中,在分析远程某个网段的数据包时,捕获的pcap文件存储在什么位置? 333
414.Traffic Capture分析数据包时如何对协议进行过滤?. 334
415.Traffic Capture数据包捕获的时间范围是多少?. 334
417.如何写一条基于端口的流量过滤,如显示目的TCP端口为22的数据包?. 334
如何写一条基于主机(IP)的流量过滤,显示源IP地址为192.168.150.10的数据包?. 334
如何写一条基于主机(IP)的流量过滤,显示IP地址为192.168.150.10的数据包?. 334
如何写一条基于协议和端口的流量过滤,显示来源为UDP或TCP,并且端口号在3000至5500范围内的数据包? 335
如何写一条过滤规则来显示来源IP地址为10.7.2.12,但目的地不是10.200.0.0/16的数据包? 335