OSSEC输出警告到Mysql方法

启用数据库支持

您必须在OSSEC服务器上安装MySQL客户端库。通常在Ubuntu上

# apt install mysql-server libmysqld-dev

然后需要设置DATABASE环境变量并运行“./install.sh”脚本，以编译OSSEC与适当的数据库支持。
如果OSSEC之前是在没有数据库支持的情况下编译的，那么应该从src目录中删除上一个构建过程中创建的文件。

# cd /ossec-hids/src
# make clean

一旦旧文件被删除，就可以执行安装(之前安装过则会只执行更新操作)。

# cd /ossec-hids
# DATABASE=mysql ./install.sh

在配置中启用数据库输出

安装完成后，需要启用数据库支持。下面的命令将在下一次重新启动时启用数据库守护进程。

# /var/ossec/bin/ossec-control enable database

配置MySQL

数据库创建

创建一个数据库，设置数据库用户，并使用以下命令添加模式(位于分布的src/os_dbd目录中)。

# mysql -u root -p

mysql> create database ossec;    //创建名为ossec的数据库

mysql> grant INSERT,SELECT,UPDATE,CREATE,DELETE,EXECUTE on ossec.* to ossecuser@<ossec ip>  identified by "password";  
 //赋予地址为<ossec ip>上的用户名为ossecuser,密码为password的用户对ossec数据库的表增删改查的权限。如果<ossec ip>填localhost则代表本地
Query OK, 0 rows affected (0.00 sec)

mysql> flush privileges;     //刷新权限修改
Query OK, 0 rows affected (0.00 sec)

mysql> quit

#cd /ossec-hids/src/os_dbd
# mysql -u root -p ossec < mysql.schema     

OSSEC创建

为了让ossec将警报和其他数据输出到数据库中，/var/ossec/etc/ossec.conf需要添加一个<database_output>节。

<ossec_config>
    <database_output>
        <hostname>192.168.2.30</hostname>
        <username>ossecuser</username>
        <password>password</password>
        <database>ossec</database>
        <type>mysql</type>
    </database_output>
</ossec_config>

需要根据之前的设置更正安装主机名、mysql用户、密码和数据库的值。

完成MySQL输出

剩下的工作就是启用数据库守护进程并重新启动ossec以使更改生效

# /var/ossec/bin/ossec-control enable database
# /var/ossec/bin/ossec-control restart

查看OSSEC输出数据库

mysql -u root -p //登入数据库
show databases;  //显示已有数据库名
show tables from ossec;  //显示ossec数据库的表名

show columns from alert;  //显示alert表的列

其他列的查询同理