OSSEC是一款開源的多平臺(tái)的入侵檢測(cè)系統(tǒng)，可以運(yùn)行于Windows, Linux, OpenBSD/FreeBSD, 以及 MacOS等操作系統(tǒng)中。包括了日志分析，全面檢測(cè)，root-kit檢測(cè)。

在unix，linux或者bsd上安裝ossec hids，默認(rèn)安裝路徑是/var/ossec，在啟動(dòng)過程中ossec hids會(huì)將目錄chroot，并且配置文件和規(guī)則也從該目錄讀取，下邊科普下，ossec下目錄結(jié)構(gòu)及各個(gè)模塊都有啥用：

#核心配置文件：

ossec.conf #ossec hids主要配置文件

internal_options.conf： #額外配置選項(xiàng)文件

decoders.xml： #文件解碼器，各種規(guī)則都在這里寫來調(diào)用

client.keys： #用于客戶端與服務(wù)器認(rèn)證通信

/var/ossec/bin #目錄包含ossec hids使用的二進(jìn)制文件。

/var/ossec/etc #目錄包含所有ossec hids使用的配置文件

#日志文件：

/var/ossec/logs： #包含有關(guān)ossec hids所有的日志目錄

ossec.log： #包含osse hids所有日志(error,warn,info和其他)

alerts/alerts.log #ossec hids報(bào)警日志

active-responses.log #ossec hids響應(yīng)日志

#隊(duì)列：

/var/ossec/queue #目錄包含ossec hids隊(duì)列文件

agent-info #目錄包含操作系統(tǒng)版本、ossec hids版本等信息

syscheck #目錄包含每個(gè)agent的數(shù)據(jù)校驗(yàn)日志

rootcheck #目錄包含每個(gè)agent，rootkit檢查數(shù)據(jù)和監(jiān)控規(guī)則。

rids #目錄包含agent ids信息

#規(guī)則

/var/log/rules #目錄包含所有osse hids規(guī)則

/var/log/stats #目錄包含每秒統(tǒng)計(jì)數(shù)據(jù)等文件

了解ossec hids配置文件： 我們將開始了解如何在unix，linux和bsd上本地/服務(wù)器進(jìn)行配置。ossec hids主要配置文件名叫ossec.conf，該文件使用xml表記語(yǔ)言編寫，ossec hids配置文件選擇位于中，該配置文件包含如下段落：

配置報(bào)警級(jí)別及收集所有日志： 每個(gè)報(bào)警都有一個(gè)嚴(yán)重級(jí)別報(bào)警等級(jí)，ossec的等級(jí)是這樣分配的，0到15，15是最高等級(jí)，0是最低等級(jí)，默認(rèn)情況下每個(gè)警報(bào)是從1到15，在ossec hids配置文件選項(xiàng)中報(bào)警級(jí)別7以上的都會(huì)發(fā)送郵件報(bào)警，如果修改ossec.conf中的報(bào)警配置選項(xiàng)，可以修改如下配置：

上邊的配置文件，只記錄2以上的報(bào)警級(jí)別日志，并且報(bào)警級(jí)別高于8以上的報(bào)警都會(huì)發(fā)送郵件。

收集日志：

除了記錄每一條報(bào)警和每一個(gè)事件記錄外你可以配置ossec hids接收所有日志，配置文件如下：

配置郵件：

默認(rèn)情況下，在安裝ossec hids server的時(shí)候會(huì)提示你配置郵件發(fā)信，但這個(gè)發(fā)信里默認(rèn)只寫入一條收件人，假如我有多個(gè)收件人是不是沒辦法了呢?答案當(dāng)然不是，ossec hids里可以這樣配置多個(gè)收件人，這里以gmail為例子：

默認(rèn)的配置文件是這樣，如添加其他人可以這樣，lost@gmail.com即可添加lost這個(gè)用戶加入收件人列表。如果不需要配置文件怎么辦呢?ossec  hids也可以關(guān)閉掉郵件選項(xiàng)，設(shè)置配置如下：

也可以讓某個(gè)郵箱只接受特定級(jí)別的郵件，配置文件可以這樣寫：

安全選項(xiàng)配置：

眾所周知，ossec收集日志的服務(wù)也是采用syslog，只不過它會(huì)開啟個(gè)1514的udp端口來接收數(shù)據(jù)，這其實(shí)和514端口并無(wú)差別不是嗎，但為了安全考慮，需要允許指定的機(jī)器來連接我們的syslog服務(wù)，配置文件可以這樣寫：

上邊的意思就是允許這個(gè)網(wǎng)段來連接syslog服務(wù)接收數(shù)據(jù)。 監(jiān)控文件變化： ossec還可以做為文件監(jiān)控來監(jiān)視網(wǎng)站目錄下的變動(dòng)情況，ossec檢測(cè)文件的時(shí)候分為幾個(gè)部分：check_all、check_sum、check_size、check_onwer、check_group、check_perm，如果是檢測(cè)網(wǎng)站變動(dòng)的話，可以在ossec.conf里寫入如下配置：

上邊的配置是檢查網(wǎng)站的任何變動(dòng)，包括文件大小發(fā)生變化，權(quán)限變化等。