はじめに
Amazon Linux2にOSSEC(Agent)をインストールしたときのメモ
この記事はOSSECのAgentをインストールしたときのメモです。
OSSEC-Serverインストールの記事と合わせてお読みください。
理由：OSSECサーバで発行したkeyが必要なため。また、OSSECのServerをインストールしたサーバIPアドレスも必要です。
環境
AmazonLinux2 AMI(HVM)
Kernel 4.14
SSD Volume Type
64ビットx86
VCPUの数 1
参考ページ
https://github.com/ossec/ossec-hids
https://www.ossec.net/docs/docs/manual/installation/installation-requirements.html#redhat-centos-fedora-amazon-linux
OSSECのインストール
OSSECのインストールに必要なコンポーネントをインストール
# sudo su
# yum install zlib-devel pcre2-devel make gcc sqlite-devel openssl-devel libevent-devel systemd-devel
OSSECのソースコードのアーカイブ（tar.gz）を/tmpにダウンロードして解凍
# cd /tmp
# wget https://github.com/ossec/ossec-hids/archive/refs/heads/master.zip
# ls
# master.zip
# unzip master.zip
# ls
# master.zip ossec-hids-master
OSSECのインストールシェルを実行
# cd ossec-hids-master
# ls
# active-response build.sh CONFIG CONTRIBUTORS doc etc install.sh README.md SUPPORT.md
BUGS CHANGELOG.md contrib debian_files Dockerfile INSTALL LICENSE src
# ./install.sh
インストール言語を選択。今回は日本語なので、jpを入力。
# (en/br/cn/de/el/es/fr/hu/it/jp/nl/pl/ru/sr/tr) [en]:jp
以下の画面が表示されるのでENTERを押下。なお、Cコンパイラについては、最初の手順でgccをインストール済み
OSSEC HIDS v3.6.0 インストールスクリプト - http://www.ossec.net
OSSEC HIDS のインストール作業を始めます．
事前に C コンパイラがシステムにインストールされてる必要があります．
- システム: Linux ip-xxx-xxx-xxx-xxx.ec2.internal yyy.yyy.yyy-yyy.yyy.amzn2.x86_64
- ユーザ: root
- ホスト: ip-xxx-xxx-xxx-xxx.ec2.internal
-- 続けるには ENTER を押してください．また，Ctrl-C で中止します． --
インストールの種類を選択。今回はエージェントをインストールするので、agentを入力。
1- どの種類のインストールを選択しますか (server，agent，local または help)? agent
- Agent(client) インストールを選択しました.
インストール先ディレクトリはそのままで良いのでENTERを押下。
2- インストール環境を設定しています.
- OSSEC HIDS のインストール先を選択してください [/var/ossec]:
- インストール先を以下に作成します /var/ossec .
OSSSECのサーバIPアドレスを聞かれるので、OSSECサーバをインストールするサーバーのIPアドレスを入力。
3- 設定 OSSEC HIDS.
3.1- OSSEC HIDS サーバの IP/hostname アドレスは何ですか?:xxx.xxx.xxx.xxx
- サーバの IP を加えています xxx.xxx.xxx.xxx
整合性検査を行うデーモンを実行させるか選択。今回は希望するので、yを入力
3.2- 整合性検査を行うデーモンを実行させますか? (y/n) [y]: y
- syscheck (整合性検査デーモン) を実行させます.
rootkit検知エンジンを実行させるか選択。今回は希望するので、yを入力
3.3- rootkit 検知エンジンを実行させますか? (y/n) [y]: y
- rootcheck (rootkit 検知) を実行させます.
アクティブレスポンスを有効にするか選択。今回は希望するので、yを入力
3.4- アクティブレスポンスによりイベントが発生した際に特定の
コマンドを実行することができます．
例えば，ある IP アドレスを遮断することや特定のユーザ
に対してアクセスを無効にすることができます．
詳細な情報は以下にあります:
http://www.ossec.net/en/manual.html#active-response
- アクティブレスポンスを有効にしますか? (y/n) [y]: y
以下のログはデフォルトで監視するようだ。続けるのでENTERを押下
3.5- 以下のログを解析するための設定を準備しています:
-- /var/log/messages
-- /var/log/secure
-- /var/log/maillog
- 他のファイルを監視したい場合は，ossec.conf を変更し
新しいエントリーを追加してください．
設定に関するどんな質問にも我々の Web サイト http://www.ossec.net
を訪れることで答えることができます．
--- 続けるには ENTER を押してください ---
コンパイルとインストールが開始。インストールが完了すると以下の画面が出力される
- システムは Linux.
- 初期スクリプトはブート中に OSSEC HIDS を起動するよう修正しました．
- 設定が完全に終了しました.
- OSSEC HIDS を開始させます:
/var/ossec/bin/ossec-control start
- OSSEC HIDS を停止させます:
/var/ossec/bin/ossec-control stop
- 以下のファイルで設定についての確認と変更ができます /var/ossec/etc/ossec.conf
OSSEC HIDS の使用に感謝します．
あなたが何らかの質問，提案したいときや，バグを発見したときは，
contact@ossec.net まで連絡するか ossec-list@ossec.net にある
我々の公開メーリングリストを使ってください．
(http://www.ossec.net/main/support/)．
詳細な情報は http://www.ossec.net にあります．
--- ENTER を押すと終了します (以下，詳細な情報が続きます)．---
- 最初に，このエージェントをサーバに追加する必要があります．
それにより互いに通信が可能となります．その後，サーバから
の認証鍵を取り入れるために 'manage_agents' ツールを実行
することができます．
/var/ossec/bin/manage_agents
詳細な情報は以下にあります:
http://www.ossec.net/docs/docs/programs/manage_agents.html
インストール後の確認
OSSECの状態確認。起動していないので、not running...が出力される
# /var/ossec/bin/ossec-control status
ossec-logcollector not running...
ossec-syscheckd not running...
ossec-agentd not running...
ossec-execd is running...
OSSECを起動する。
# /var/ossec/bin/ossec-control start
Starting OSSEC HIDS v3.7.0...
ossec-execd already running...
2022/03/02 09:58:36 ossec-agentd: INFO: Using notify time: 600 and max time to reconnect: 1800
Started ossec-agentd...
Started ossec-logcollector...
2022/03/02 09:58:39 ossec-syscheckd(1210): ERROR: Queue '/var/ossec/queue/ossec/queue' not accessible: 'Connection refused'.
2022/03/02 09:58:39 rootcheck(1210): ERROR: Queue '/var/ossec/queue/ossec/queue' not accessible: 'Connection refused'.
2022/03/02 09:58:47 ossec-syscheckd(1210): ERROR: Queue '/var/ossec/queue/ossec/queue' not accessible: 'Connection refused'.
2022/03/02 09:58:47 rootcheck(1210): ERROR: Queue '/var/ossec/queue/ossec/queue' not accessible: 'Connection refused'.
2022/03/02 09:59:00 ossec-syscheckd(1210): ERROR: Queue '/var/ossec/queue/ossec/queue' not accessible: 'Connection refused'.
2022/03/02 09:59:00 rootcheck(1211): ERROR: Unable to access queue: '/var/ossec/queue/ossec/queue'. Giving up..
ossec-syscheckd did not start
OSSECサーバとの連携をしていないので、エラーになっていると思われる。
OSSECサーバのIPアドレスは/tmp/ossec-hids-master/etc/ossec.mcに設定されているようだ。
インストール時に参照していると思われる。
/tmp/ossec-hids-master/etc/ossec.mc
<server-ip>xxx.xxx.xxx.xxx</server-ip>
起動時に参照していると思われる。
/var/ossec/etc/ossec.conf
<server-ip>xxx.xxx.xxx.xxx</server-ip>
manage_agentsを実行
****************************************
* OSSEC HIDS v3.7.0 Agent manager. *
* The following options are available: *
****************************************
(I)mport key from the server (I).
(Q)uit.
Choose your action: I or Q: I
* Provide the Key generated by the server.
* The best approach is to cut and paste it.
*** OBS: Do not include spaces or new lines.
Paste it here (or '\q' to quit):hogehogehogehogehogehogehogehogehogehogehogehogehogehogehogehogehogehogehogehoge
Agent information:
ID:001
Name:test
IP Address:xxx.xxx.xxx.xxx
Confirm adding it?(y/n): y
2022/03/02 10:40:01 manage_agents: ERROR: Cannot unlink /queue/rids/sender: No such file or directory
Added.
** Press ENTER to return to the main menu.
今度は/queue/rids/senderが無いというエラーが・・・
無いというなら、touchコマンドで作成する
touch /var/ossec/queue/rids/sender
もう一度、manage_agentsを実行。エラーは解消された！！
# /var/ossec/bin/manage_agents
****************************************
* OSSEC HIDS v3.7.0 Agent manager. *
* The following options are available: *
****************************************
(I)mport key from the server (I).
(Q)uit.
Choose your action: I or Q: I
* Provide the Key generated by the server.
* The best approach is to cut and paste it.
*** OBS: Do not include spaces or new lines.
Paste it here (or '\q' to quit): hogehogehogehogehogehogehogehogehogehogehogehogehogehogehogehogehogehogehogehoge
Agent information:
ID:001
Name:test
IP Address:xxx.xxx.xxx.xxx
Confirm adding it?(y/n): y
Added.
** Press ENTER to return to the main menu.
****************************************
* OSSEC HIDS v3.7.0 Agent manager. *
* The following options are available: *
****************************************
(I)mport key from the server (I).
(Q)uit.
Choose your action: I or Q: Q
** You must restart OSSEC for your changes to take effect.
manage_agents: Exiting.
manage_agents: Exiting.
OSSECの状態確認。起動していないので、not running...が出力される
# /var/ossec/bin/ossec-control status
ossec-logcollector not running...
ossec-syscheckd not running...
ossec-agentd not running...
ossec-execd not running...
OSSECを起動する。
Starting OSSEC HIDS v3.7.0...
Started ossec-execd...
2022/03/02 10:47:18 ossec-agentd: INFO: Using notify time: 600 and max time to reconnect: 1800
Started ossec-agentd...
Started ossec-logcollector...
Started ossec-syscheckd...
Completed.
OSSECの状態確認。起動したので、is running...が出力される
# /var/ossec/bin/ossec-control status
ossec-logcollector is running...
ossec-syscheckd is running...
ossec-agentd is running...
ossec-execd is running...
psコマンドでプロセスを確認
# ps -aef | grep OSSEC
root 4681 3269 0 10:49 pts/0 00:00:00 grep --color=auto OSSEC
[root@ip-172-31-91-134 etc]# ps -aef | grep ossec
root 4639 1 0 10:47 ? 00:00:00 /var/ossec/bin/ossec-execd
ossec 4643 1 0 10:47 ? 00:00:00 /var/ossec/bin/ossec-agentd
root 4647 1 0 10:47 ? 00:00:00 /var/ossec/bin/ossec-logcollector
root 4651 1 0 10:47 ? 00:00:00 /var/ossec/bin/ossec-syscheckd
root 4683 3269 0 10:49 pts/0 00:00:00 grep --color=auto ossec
他のコマンドも試してみる。enableの後にオプションを付加して、機能を有効にできるようだ。
# /var/ossec/bin/ossec-control enable
Enable options: database, client-syslog, agentless, debug
Usage: /var/ossec/bin/ossec-control enable [database|client-syslog|agentless|debug]
おわりに
今回の記事は以上です。では、また。