OSSIM5.8.11学习&测试

学习的小白_

已于 2024-04-22 11:49:12 修改

阅读量1k

点赞数 10

分类专栏： SIEM 工具文章标签：网络安全功能测试

于 2024-04-22 11:46:02 首次发布

本文链接：https://blog.csdn.net/weixin_52244272/article/details/138060462

版权

工具同时被 2 个专栏收录

3 篇文章 0 订阅

订阅专栏

SIEM

2 篇文章 0 订阅

订阅专栏

本文详细介绍了OSSIM的下载部署过程，包括系统配置要求，以及功能测试的各个环节，如连接OTX、部署HIDS、漏洞扫描、SYSLOG日志查看、实时告警检测和安全工具测试。OSSIM作为开源SIEM平台，为企业提供全面的网络安全保护。

摘要由CSDN通过智能技术生成

OSSIM（Open Source Security Information Management）是一个开源的安全信息和事件管理（SIEM）平台，它集成了多种开源工具，用于实现实时监控、事件处理、风险评估和预警等功能。OSSIM旨在为企业和组织提供一种全面的网络安全解决方案，以保护其IT基础设施免受各种网络威胁和攻击。

一、下载部署

🌂直接去官网下载即可

Get OSSIM for Ultimate Protection | AT&T Cybersecurity

🌂 建议配置：CPU2*2，内存16G，硬盘80+，网络我这边使用的是NAT模式

# 系统盘20G+，数据盘70G+

🌂接下来虚拟机使用下载好的ISO镜像文件，开启虚拟机，待进入内核加载界面时，右下角选择断开网络（下图1），语言选择英文（中文进入会有乱码，下图2），编码UTF-8，地区选择other-Asia-China，账户密码我这边均为root，其他的直接下一步即可，ip自定义（不要和你其他虚拟机ip冲突就行），网关我这里使用的是192.168.xxx.2。

# 配置完成，等待系统安装，大约15-20分（下图3）

🌂安装后，会加载下图1界面，我们首先去右下角将NAT网络连接，然后回车进入"System Preferences-Update AlienVault System-Update System"对系统更新，第一次更新进去按照系统指示走就行，更新时间不长，完成后会自动回到该菜单界面。

# 我这边更新过了，就不再展示

🌂进入系统，选择菜单"Jailbreak System"即可查看本机ip地址等信息

🌂更新后使用游览器访问IP地址，会提示风险，直接高级继续访问就行。然后加载下图1界面，输入名称、密码、邮箱即可。之后自动跳转下图2界面进行登录。

🌂 新用户第一次登录后，还需要进行一些配置，大多数都next即可，我下面提到的可以稍微关注一下（因为我安装过了，下面图片复制一下其他师傅的）。这边会让我们选择配置HIDS，有windows、linux两种，我这边配置了windows的（刚好有个域环境在用），和我情况相同的小伙伴可以输入域进去，没有的话直接next也行，后续进入界面也可以配置。至于Linux需要输入主机账户密码了。

🌂 这个就是上面说的OTX（开放威胁交换）了，我们直接跳过吧，进了界面统一加入。

🌂 到此，点击进入OSSIM可视化界面（下图2）

# 本身是英文界面的，我这边使用沉浸式翻译这个翻译插件，有需要的可以去游览器扩展

二、功能测试

2.1 连接OTX

🌂 进入configuration-open threat exchange，选择actions-view account details 进入OTX界面，新用户直接创建即可，绑定自己邮箱认证。创建完成后，根据下图3将自己的OTX密钥复制到下图1中（首次界面可能和我图1不一样，你按照网页提示添加），之后即可成功加入OTX。

2.2 部署HIDS

🌂点击environment-assets&groups，出现下图1界面，点击add assets添加资产，选择scan for assets扫描资产，此时我们开启另外一台想要被ossim监测到的虚拟机，选择下图2网络组，对192.168.xxx.xxx网段进行扫描，等待扫描完成，会出现下图1中可用资产主机。

🌂 对其中一台资产进行HIDS部署，选择actions-deploy HIDS agents，输入该主机登录账户名密码，点击deploy即可。等待1分钟左右，会部署完成，我们可以去邮箱查看消息。

🌂 也可以去environment-detection，查看agents代理（使用该方法的，建议开启调试，下图2），点击ADD AGENT添加（下图3），选择网络及IP即可（下图4）。

2.3 漏洞扫描

🌂 回到environment-assets&groups下，选择想要漏扫的资产，actions-run vulnerability scan运行漏洞扫描，创建作业名称，选择"Full and fas-Most NVT..."（下图2，其他功能还没有测全，有兴趣的可以试试）

🌂 创建后，点击environment-vulnerabilities-scan jobs，查看创建的任务，我这边是已经扫描完成的一项，可以看出来扫描时间还是蛮长的，小伙伴可以去等待吃饭了

🌂扫描完成后，我们根据下图步骤查看报告，发现31个高危，95中危，5低危，94信息。同时也有不同的报告输出方式，以PDF（下图2）为例，拿一个高危漏洞来讲，其介绍了漏洞利用方式、检测方法、修复建议等内容，有兴趣小伙伴可以根据此报告尝试漏洞复现及修复。

2.4 SYSLOG查看日志

🌂 analysis-security events(SIEM)，查看系统日志。下图2上方是对该日志一些详细信息说明展示，最下方黑色底纹为系统原始日志，即命令行中可查看到的日志。

🌂我们也可以自主向他发送日志消息，这里拿ubuntu20.04虚拟机测试。首先configuration-deployment-main，将登录至syslog开启。ubuntu使用执行命令"echo 要发送的日志消息 | nc -u ossim-ip 514" （来源netcat工具），对ossim的syslog发送消息"Hellos World666666"，回到 analysis-security events(SIEM) 查看，发现收到该消息内容。

2.5 查看实时告警

🌂使用kali中nmap执行命令"nmap ossim-ip"，对ossim进行扫描，同时打开ossim web界面中analysis-security events(SIEM)，查看告警信息。发现出现提示"观察到可能的NMAP用户代理ET扫描"。

2.6 Hydra密码爆破测试

🌂使用kali中hydra工具，执行"hydra -l root -w 10 -P password.txt -t 10 -v -f ossim-ip ssh"命令（nmap扫描发现开启22端口），对ossim进行密码测试，同时查看日志信息，提示SSHD身份验证失败。

# root可更换为user.txt字典，password.txt是我自己书写的简要密码字典