Ubuntu16.04安装OSSEC详细步骤

本文目录

环境介绍
安装依赖包
安装Server
安装Agent
关联Agent和Server
- server端添加agent
- Agent端导入key
- 测试连接
安装OSSEC Web UI
- 安装Apache服务
- 安装PHP
- 安装OSSEC Web

参考官网文档：OSSEC Installation

环境介绍

Ubuntu 16.04 VMware虚拟机1：安装Server
Ubuntu 16.04 VMware虚拟机2：安装Agent

安装依赖包

安装build-essential来编译安装OSSEC，为了使用系统的pcre2库，安装libpcre2-dev包：

apt-get install build-essential make zlib1g-dev libpcre2-dev

为了支持数据库，需要安装mysql-dev 或 postgresql-dev包：

apt-get install mysql-dev postgresql-dev

安装时提示无法找到这些包，于是暂用下面的包替换：

sudo apt-get install libmysqld-dev postgresql

安装其它依赖库（官网没有说明，缺少的话会编译报错）

sudo apt-get install libevent-dev libssl-dev

安装Server

下载最新发行版：github地址
解压，运行install.sh：sudo ./install.sh
根据提示安装。选择中文，开始安装：

根据提示输入以下配置：

选择安装方式。官方文档中说有4种安装方式：服务器、客户端、本地或混合（server, agent, local, or hybrid），但没有进一步说明了。在这个GitHub issue上找到了解释：本质上讲server install和local install是一样的，而且local install的话后期用yum安装包会出现问题。所以选server install！
选择安装路径，按默认来直接回车。
各种配置，除了第3.1选择不开启邮件告警外，其它一路回车。

安装完毕：

可在配置文件中查看、修改各类选项：

sudo vim /var/ossec/etc/ossec.conf

开启OSSEC：

 sudo /var/ossec/bin/ossec-control start

应该打印以下信息：

安装Agent

在另一台虚拟机上安装Agent。安装过程与上面安装server基本一致，安装方式输入agent即可。

需要的配置很少，只需指定server的IP。

安装完毕后，按以下步骤关联agent和server。

关联Agent和Server

server端添加agent

执行：sudo /var/ossec/bin/manage_agents

执行默认的A选项：

****************************************
* OSSEC HIDS v3.6.0 Agent manager.     *
* The following options are available: *
****************************************(A)dd an agent (A).(E)xtract key for an agent (E).(L)ist already added agents (L).(R)emove an agent (R).(Q)uit.
Choose your action: A,E,L,R or Q: A

指定name、IP、ID等信息：

- Adding a new agent (use '\q' to return to the main menu).Please provide the following:* A name for the new agent: a1* The IP Address of the new agent: 172.16.252.133* An ID for the new agent[001]:
Agent information:ID:001Name:a1IP Address:172.16.252.133Confirm adding it?(y/n): y
Agent added with ID 001.

其中IP也可以是某个网段，如：

* A name for the new agent: agent-1
* The IP Address of the new agent: 10.1.1.0/24

也可以用any表示所有地址，如：

* A name for the new agent: agent-2
* The IP Address of the new agent: any

但每个agent都必须有一个单独的key，并不是监控某个网段或所有IP就能一次监控多个agent了，只不过是agent可以从多处IP发起连接。

添加完agent后，再执行E选项，输入指定的ID，得到对应的key：

Choose your action: A,E,L,R or Q: EAvailable agents: ID: 001, Name: a1, IP: 172.16.252.133
Provide the ID of the agent to extract the key (or '\q' to quit): 001Agent key information for '001' is:
MDAxIGExIDE3Mi4xNi4yNTIuMTMzIDY0NGZkYTY3YzcxMTIyNWFkZmM2NWNkMzU3MGFiNDk4OTM4MTY0……

Agent端导入key

执行：sudo /var/ossec/bin/manage_agents，执行I选项，把上一步得到的key粘贴过来。

****************************************
* OSSEC HIDS v3.6.0 Agent manager.     *
* The following options are available: *
****************************************(I)mport key from the server (I).(Q)uit.
Choose your action: I or Q: I* Provide the Key generated by the server.
* The best approach is to cut and paste it.
*** OBS: Do not include spaces or new lines.Paste it here (or '\q' to quit): MDAxIGExIDE3Mi4xNi4yNTIuMTMzIDY0NGZkYTY3YzcxMTIyNWFkZmM……Agent information:ID:001Name:a1IP Address:172.16.252.133Confirm adding it?(y/n): y

结果报错：

manage_agents: ERROR: Cannot unlink /queue/rids/sender: No such file or directory

在该目录下手动建立sender空文件：
sudo vim /var/ossec/queue/rids/sender

重新执行sudo /var/ossec/bin/manage_agents，添加成功:

Confirm adding it?(y/n): y
Added.

添加完agent后，分别重启server和agent：

sudo /var/ossec/bin/ossec-control restart

测试连接

执行以下命令：

/var/ossec/bin/list_agents -c

应该看到以下信息：

a1-172.16.252.133 is active.

安装OSSEC Web UI

可选择安装Web页面。

安装Apache服务

sudo apt update
sudo apt install apache2

打开浏览器输入：http://127.0.0.1/，能显示Apache页面即表示安装成功。

安装PHP

sudo apt install php libapache2-mod-php php-mysql

重启Apache：

sudo systemctl restart apache2

安装OSSEC Web

将OSSEC web的git仓库克隆到/var/www/html/ossec文件夹下：

sudo git clone https://github.com/ossec/ossec-wui.git /var/www/html/ossec

安装：

sudo /var/www/html/ossec/setup.sh

按提示输入：

- Username: admin
- New password: XXX
- Re-type new password: XXX
- Enter your web server user name (e.g. apache, www, nobody, www-data, ...): www-data

浏览器输入：http://127.0.0.1/ossec，即可访问OSSEC管理页面：