OSSIM(Open Source Security Information Management)是一个开源的安全信息和事件管理(SIEM)平台,它集成了多种开源工具,用于实现实时监控、事件处理、风险评估和预警等功能。OSSIM旨在为企业和组织提供一种全面的网络安全解决方案,以保护其IT基础设施免受各种网络威胁和攻击。
目录
一、下载部署
🌂直接去官网下载即可
🌂 建议配置:CPU2*2,内存16G,硬盘80+,网络我这边使用的是NAT模式
# 系统盘20G+,数据盘70G+
🌂接下来虚拟机使用下载好的ISO镜像文件,开启虚拟机,待进入内核加载界面时,右下角选择断开网络(下图1),语言选择英文(中文进入会有乱码,下图2),编码UTF-8,地区选择other-Asia-China,账户密码我这边均为root,其他的直接下一步即可,ip自定义(不要和你其他虚拟机ip冲突就行),网关我这里使用的是192.168.xxx.2。
# 配置完成,等待系统安装,大约15-20分(下图3)
🌂安装后,会加载下图1界面,我们首先去右下角将NAT网络连接,然后回车进入"System Preferences-Update AlienVault System-Update System"对系统更新,第一次更新进去按照系统指示走就行,更新时间不长,完成后会自动回到该菜单界面。
# 我这边更新过了,就不再展示
🌂进入系统,选择菜单"Jailbreak System"即可查看本机ip地址等信息
🌂更新后使用游览器访问IP地址,会提示风险,直接高级继续访问就行。然后加载下图1界面,输入名称、密码、邮箱即可。之后自动跳转下图2界面进行登录。
🌂 新用户第一次登录后,还需要进行一些配置,大多数都next即可,我下面提到的可以稍微关注一下(因为我安装过了,下面图片复制一下其他师傅的)。这边会让我们选择配置HIDS,有windows、linux两种,我这边配置了windows的(刚好有个域环境在用),和我情况相同的小伙伴可以输入域进去,没有的话直接next也行,后续进入界面也可以配置。至于Linux需要输入主机账户密码了。
🌂 这个就是上面说的OTX(开放威胁交换)了,我们直接跳过吧,进了界面统一加入。
🌂 到此,点击进入OSSIM可视化界面(下图2)
# 本身是英文界面的,我这边使用 沉浸式翻译 这个翻译插件,有需要的可以去游览器扩展
二、 功能测试
2.1 连接OTX
🌂 进入configuration-open threat exchange,选择actions-view account details 进入OTX界面,新用户直接创建即可,绑定自己邮箱认证。创建完成后,根据下图3将自己的OTX密钥复制到下图1中(首次界面可能和我图1不一样,你按照网页提示添加),之后即可成功加入OTX。
2.2 部署HIDS
🌂点击environment-assets&groups,出现下图1界面,点击add assets添加资产,选择scan for assets扫描资产,此时我们开启另外一台想要被ossim监测到的虚拟机,选择下图2网络组,对192.168.xxx.xxx网段进行扫描,等待扫描完成,会出现下图1中可用资产主机。
🌂 对其中一台资产进行HIDS部署,选择actions-deploy HIDS agents,输入该主机登录账户名密码,点击deploy即可。等待1分钟左右,会部署完成,我们可以去邮箱查看消息。
🌂 也可以去environment-detection,查看agents代理(使用该方法的,建议开启调试,下图2),点击ADD AGENT添加(下图3),选择网络及IP即可(下图4)。
2.3 漏洞扫描
🌂 回到environment-assets&groups下,选择想要漏扫的资产,actions-run vulnerability scan运行漏洞扫描,创建作业名称,选择"Full and fas-Most NVT..."(下图2,其他功能还没有测全,有兴趣的可以试试)
🌂 创建后,点击environment-vulnerabilities-scan jobs,查看创建的任务,我这边是已经扫描完成的一项,可以看出来扫描时间还是蛮长的,小伙伴可以去等待吃饭了
🌂扫描完成后,我们根据下图步骤查看报告,发现31个高危,95中危,5低危,94信息。同时也有不同的报告输出方式,以PDF(下图2)为例,拿一个高危漏洞来讲,其介绍了漏洞利用方式、检测方法、修复建议等内容,有兴趣小伙伴可以根据此报告尝试漏洞复现及修复。
2.4 SYSLOG查看日志
🌂 analysis-security events(SIEM),查看系统日志。下图2上方是对该日志一些详细信息说明展示,最下方黑色底纹为系统原始日志,即命令行中可查看到的日志。
🌂我们也可以自主向他发送日志消息,这里拿ubuntu20.04虚拟机测试。首先configuration-deployment-main,将登录至syslog开启。ubuntu使用执行命令"echo 要发送的日志消息 | nc -u ossim-ip 514" (来源netcat工具),对ossim的syslog发送消息"Hellos World666666",回到 analysis-security events(SIEM) 查看,发现收到该消息内容。
2.5 查看实时告警
🌂使用kali中nmap执行命令"nmap ossim-ip",对ossim进行扫描,同时打开ossim web界面中analysis-security events(SIEM),查看告警信息。发现出现提示"观察到可能的NMAP用户代理ET扫描"。
2.6 Hydra密码爆破测试
🌂使用kali中hydra工具,执行"hydra -l root -w 10 -P password.txt -t 10 -v -f ossim-ip ssh"命令(nmap扫描发现开启22端口),对ossim进行密码测试,同时查看日志信息,提示SSHD身份验证失败。
# root可更换为user.txt字典,password.txt是我自己书写的简要密码字典
2.7 SQL map注入测试
🌂使用kali中sql-map工具,执行"sqlmap -u http://ossim-ip",此处不存在可注入漏洞,但系统会爆尝试sql注入测试,也算是一种功能测试吧,看安全事件会不会即使响应。同时,我们邮箱也受到了告警信息。
到此,OSSIM的基本学习测试结束,文章中还有很多没有提及测试的功能,小伙伴可以去尝试一下。
欢迎各位师傅批评指正~最后很感谢李晨光老师的B站视频及在51CTO发布的OSSIM学习文章!