本文详细介绍了AlienVault OSSIM的安装和配置过程，包括页面功能、数据库、开启的服务和守护进程、工作流程以及子模块如nmap、nagios、ntop、openvas、suricata和ossec的安装与使用。此外，还涵盖了数据库设置、依赖包安装和各个组件的启动命令。
AlienVault® OSSIM™, Open Source Security Information and Event Management (SIEM), provides you with a feature-rich open source SIEM complete with event collection, normalization and correlation.
工具集关系
页面功能
ossim的主要功能在Environment中,其中
Assets表示资产管理------>nmap
Vulnerabilities表示漏洞扫描------>openvas
Profiles表示网络流量的轮廓------>ntop
Availability表示可用性------>nagios
Detection表示入侵检测------>ossec
后台自动运行的程序有suricata
数据库
数据库使用mysql，密码在配置文件/etc/ossim/ossim_setup.conf中
包含的数据库如下：
开启的端口服务
mysqld：数据库服务
redis-server：redis存储服务
apache2：web服务
openvassd：漏洞扫描服务
sshd：远程连接ssh服务
ntop：监控网络流量服务
ossim-server:ossim服务，开启端口40001,40002,40003
python：插件代理服务，解析来自各个探针的数据
ossec-remoted:主机入侵检测系统服务
squid：代理服务
rsyslogd:系统日志服务
nfcapd：netflow 分析端，fprobe探针将接口数据格式为netflow数据交给nfcapd
开启的守护进程
root 1063 0.0 0.4 184956 58980 ? S 14:17 0:01 /usr/sbin/openvasmd --database=/var/lib/openvas/mgr/tasks.db --listen=0.0.0.0 --port=9390 --slisten=127.0.0.1 --sport=9391 --gnutls-priorities='SECURE128:-AES-128-CBC:-CAME
root 1215 0.0 0.0 3768 436 ? Ss 14:17 0:00 startpar -f -- openvas-manager
root 1233 0.0 0.0 64828 2008 ? Sl 14:17 0:01 /usr/sbin/rsyslogd -c3 -x
root 1265 0.0 0.2 296240 26508 ? Ss 14:17 0:00 /usr/sbin/apache2 -k start
root 1292 0.0 0.0 127220 1108 ? Ss 14:17 0:00 /usr/sbin/cron
root 1302 0.0 0.0 47364 6192 ? Ssl 14:17 0:06 /usr/sbin/fprobe -ieth0 -fip 172.16.1.232:555
root 1469 0.0 0.0 9232 1484 ? S 14:17 0:00 /bin/sh /usr/bin/mysqld_safe
mysql 2463 0.8 6.2 2098644 750608 ? Sl 14:17 1:11 /usr/sbin/mysqld --basedir=/usr --datadir=/var/lib/mysql --plugin-dir=/usr/lib64/mysql/plugin --user=mysql --log-error=/var/log/mysql/mysql.err --pid-file=/var/run/mysqld/m
www-data 2537 0.0 0.0 15904 760 ? S 14:17 0:00 /usr/bin/nfcapd -w -D -p 555 -u www-data -g www-data -B 200000 -S 7 -P /var/nfsen/run/p555.pid -I B8B926CA29F0429C9AD848CAC6134D95 -l /var/cache/nfdump/flows//live/B8B926CA
nagios 2538 0.0 0.0 54488 3984 ? SNsl 14:17 0:04 /usr/sbin/nagios3 -d /etc/nagios3/nagios.cfg
ntop 2566 0.0 0.3 242916 38292 ? Ssl 14:17 0:03 /usr/sbin/ntop -d -L -u ntop -P /var/lib/ntop --access-log-file /var/log/ntop/access.log -i eth0 -p /etc/ntop/protocol.list -O /var/log/ntop --no-mac
ossec 2759 0.0 0.0 17324 3032 ? S 14:17 0:02 /var/ossec/bin/ossec-analysisd
root 2763 0.0 0.0 4128 624 ? S 14:17 0:00 /var/ossec/bin/ossec-logcollector
ossecr 2768 0.0 0.0 31212 960 ? Sl 14:17 0:00 /var/ossec/bin/ossec-remoted
root 2775 0.1 0.0 5024 1820 ? S 14:18 0:09 /var/ossec/bin/ossec-syscheckd
ossec 2779 0.0 0.0 12628 644 ? S 14:18 0:00 /var/ossec/bin/ossec-monitord
root 2829 0.0 0.1 215284 20600 ? Sl 14:18 0:03 /usr/bin/python -OOt /usr/bin/ossim-framework -d
avserver 2853 0.6 2.6 567004 317228 ? Sl 14:18 0:58 /usr/bin/ossim-server -d
root 2964 8.6 0.2 285576 26184 ? Sl 14:18 12:46 /usr/bin/python -OOt /usr/bin/ossim-agent -d
redis 2984 0.0 0.0 26192 1648 ? Ssl 14:18 0:07 /usr/bin/redis-server /etc/redis/redis.conf
root 3034 0.8 2.7 418520 326972 ? Ssl 14:18 1:19 /usr/bin/suricata -c /etc/suricata/suricata.yaml --pidfile /var/run/suricata.pid -D --pfring=eth0
root 3296 0.0 0.0 47120 1772 ? Ss 14:18 0:00 /usr/sbin/squid3 -YC -f /etc/squid3/squid.conf
proxy 3302 0.0 0.1 83448 16044 ? S 14:18 0:04 (squid) -YC -f /etc/squid3/squid.conf
root 3311 0.0 0.0 49212 1184 ? Ss 14:18 0:00 /usr/sbin/sshd
root 3349 0.0 0.0 34728 4416 ? S 14:18 0:00 /usr/sbin/monit -c /etc/monit/monitrc -s /var/lib/monit/monit.state
root 3377 0.0 0.0 5960 644 tty1 Ss+ 14:18 0:00 /sbin/getty 38400 tty1
root 3620 0.0 0.3 114460 42968 ? Ss 14:18 0:00 openvassd: waiting for incoming connections
root 3671 0.0 0.4 198764 52148 pts/0 S 14:20 0:00 /usr/bin/python /usr/sbin/ossim-setup
nagios3：网络监控
suricata：检测引擎
monit：看门狗
getty：虚拟终端工作流程
以suricata和ossim联动为例
- sensor端的检测引擎suricata将检测到的数据写入unifiled文件中
- 由python写的代理插件读取unifiled文件转换为ossim统一格式通过tcp协议端口 40001发送给ossim server服务
- ossim server接收数据并入库
- web页面读取数据库展示
ossim编译安装
- 安装debain系统，我这里安装的是debian-8.2.0-amd64-xfce-CD-iso
- 下载ossim源码，我这里下载的是alienvault-ossim_5.0.tar.gz，代码中包括四个部分框架ossim-framework,负责整合各种插件和数据的框架；管理服务ossim-server，负责和数据库打交道；代理插件ossim-agent，负责解析各个插件产生的日志数据；页面展示PHP服务。
- ossim-server依赖包安装
首先添加源，备份文件/etc/apt/source.list并重新建立一个，内容如下
deb http://httpredir.debian.org/debian jessie maindeb-src http://httpredir.debian.org/debian jessie maindeb http://httpredir.debian.org/debian jessie-updates maindeb-src http://httpredir.debian.org/debian jessie-updates maindeb http://security.debian.org/ jessie/updates maindeb-src http://security.debian.org/ jessie/updates main依次执行命令
apt-get update
apt-get install automake
aptitude install gcc
aptitude install libglib2.0-dev
apt-get install glib2.0
apt-get install build-essential
apt-get install libgnet-dev
apt-get install gnet2.0
apt-get install libxml2
apt-get install libxml2-dev
aptitude install libssl-dev
aptitude install libgda-5.0
aptitude install libgda-5.0-dev
apt-get install libgda-5.0-mysql
apt-get install libjson-glib-dev
apt-get install libgeoip-dev
apt-get install libsoup2.4-dev
apt-get install python-dev
apt-get install uuid
apt-get install uuid-dev
wget https://github.com/mongodb/libbson/releases/download/1.1.10/libbson-1.1.10.tar.gz
tar -xzf libbson-1.1.10.tar.gz
cd libbson-1.1.10/
./configure --prefix=/usr --libdir=/usr/lib
make && make install
apt-get install gettext
apt-get install sudo
apt-get install mysql-server
- ossim-server安装
将alienvault-ossim_5.2.0.tar.gz文件上传到已经安装好的debain系统中，执行命令
tar -zxvf alienvault-ossim_5.2.0.tar.gz
cd src/os-sim/
./autogen.sh
make && make install
mkdir -p /etc/ossim/server/
cp src/s-sim/etc/server/* /etc/ossim/server/
mkdir -p /var/run/alienvault/
mkdir -p /var/log/alienvault/server
touch /var/log/alienvault/server/server.log
cp src/alienvault-ossim/os-sim/scripts/* /usr/bin/
mkdir /etc/alienvault
groupadd alienvault
修改数据库密码
vi /etc/ossim/framework/ossim.conf
vi /etc/ossim/server/config.xml
导入数据库，到一个已经安装好的ossim系统中导出数据库alienvault,密码可以通过查 看文件/etc/ossim/ossim_setup.conf，这里假设密码为111111，导出命令如 下
mysqldump -uroot -p111111 alienvault > alienvault.sql
下载alienvault.sql文件并上传到ossim编译环境，执行命令
mysql -uroot -p111111 alienvault < alienvault.sql
- ossim-agent依赖包安装
wget https://bootstrap.pypa.io/ez_setup.py
python ez_setup.py install
/usr/bin/easy_install pip
pip install pyyaml
wget http://geolite.maxmind.com/download/geoip/api/c/GeoIP-1.4.7.tar.gz
tar -xvzf GeoIP-1.4.7.tar.gz
cd GeoIP-1.4.7
./confiure
make
make install
apt-get install libldap2-dev
apt-get install libsasl2-dev
apt-get install libpcap-dev
pip install geoip2
pip install GeoIP
pip install pyinotify
pip install pytz
pip install python-nmap
yum install openldap-devel
pip install python-ldap
pip install pypcap
pip install pymongo
pip install simplejson
- ossim-agent安装
cd src/s-sim/agent
python setup.py install
mkdir -p /usr/share/alienvault/ossim-agent/
cp -rf src/s-sim/agent/src/* /usr/share/alienvault/ossim-agent/
mkdir -p /usr/share/geoip/
cp -rf src/ssim-geoip/* /usr/share/geoip/
mkdir -p /etc/ossim/agent/plugins/
cp -rf src/alienvault-ossim/alienvault-plugins/d_clean/plugins/* /etc/ossim/agent/plugins/
- ossim-framework
pip install pymysql
apt-get install python-mysqldb
pip install suds
pip install sqlalchemy
- ossim-framework安装
cd src/alienvault-ossim/os-sim/frameworkd
python setup.py install
mkdir -p /usr/share/ossim-framework/
cp ossimframework/ /usr/share/ossim-framework/
cp /root/src/alienvault-ossim/ossim-cd-tools/alienvault-center/av-libs/avconfig/tests/test_data/os sim_setup10.conf /etc/ossim/ossim_setup.conf
mkdir /var/ossim
- 运行
执行命令
iptables -F
/etc/init.d/mysql start
ossim-framework &
ossim-server&
ossim-agent&
子模块安装
nmap
http://nmap.org/
可以检测目标机是否在线、端口开放情况、侦测运行的服务类型及版本信息、侦测操作系统等信息。
主机发现
Arp包
Icmp包
端口发现
Tcp syn包
如果收到SYN/ACK回复，那么判断端口是开放的；如果收到RST包，说明该端口是关闭的。
Tcp ack包
如果收到RST包，说明该端口没有被防火墙屏蔽；没有收到RST包，说明被屏蔽。该方式只能用于确定防火墙是否屏蔽某个端口
TCP FIN包
如果收到对方RST回复包，那么说明该端口是关闭的；没有收到RST包说明端口可能是开放的或被屏蔽的
UDP端口扫描
向目标主机的UDP端口发送探测包，如果收到回复“ICMP port unreachable”就说明该端口是关闭的；如果没有收到回复，那说明UDP端口可能是开放的或屏蔽的
侦测版本
如果是TCP端口，尝试建立TCP连接。尝试等待片刻（通常6秒或更多，具体时间可以查询文件nmap-services-probes中 Probe TCP NULL q||对应的totalwaitms）。通常在等待时间内，会接收到目标机发送的“WelcomeBanner”信息。nmap将接收到的Banner与 nmap-services-probes中NULL probe中的签名进行对比。查找对应应用程序的名字与版本信息。
如果通过“Welcome Banner”无法确定应用程序版本，那么nmap再尝试发送其他的探测包（即从nmap-services-probes中挑选合适的probe），将 probe得到回复包与数据库中的签名进行对比。如果反复探测都无法得出具体应用，那么打印出应用返回报文，让用户自行进一步判定。
如果是UDP端口，那么直接使用nmap-services-probes中探测包进行探测匹配。根据结果对比分析出UDP应用服务类型。
侦测系统
Nmap内部包含了2600多已知系统的指纹特征（在文件nmap-os-db文件中）。将此指纹数据库作为进行指纹对比的样本库。
分别挑选一个open和closed的端口，向其发送经过精心设计的TCP/UDP/ICMP数据包，根据返回的数据包生成一份系统指纹。
将探测生成的指纹与nmap-os-db中指纹进行对比，查找匹配的系统。如果无法匹配，以概率形式列举出可能的系统。
yum install nmap
比较常用的使用的是-sn，表示只单独进行主机发现过程；-Pn表示直接跳过主机发现而进行端口扫描等高级操作（如果已经确知目标主机已经开启，可用该选项）；-n，如果不想使用DNS或reverse DNS解析，那么可以使用该选项。
主机发现
端口发现
侦测版本
侦测系统
nagios
监控服务和主机
启动nagios后，它会周期性的自动调用插件去检测服务器状态，同时nagios会维持一个队列，所有插件返回来的状态信息都进入队列，nagios每次都从队首开始读取信息，并进行处理后，把状态结果通过web显示出来。
nagios提供了许多插件，利用这些插件可以方便的监控很多服务状态。安装完成后，在nagios主目录下的/libexec里放有 nagios自带的可以使用的所有插件，如，check_disk是检查磁盘空间的插件，check_load是检查CPU负载的，等等。每一个插件可以 通过运行./check_xxx –h 来查看其使用方法和功能。
nagios核心安装
wget http://prdownloads.sourceforge.net/sourceforge/nagios/nagios-3.4.3.tar.gz
tar zxvf nagios-3.4.3.tar.gz
cd nagios
./configure --prefix=/usr/local/nagios
useradd nagios
mkdir /usr/local/nagios
chown nagios.nagios /usr/local/nagios
make all
make install
make install-init
make install-commandmode
make install-config
nagios插件安装
wget http://nagios-plugins.org/download/nagios-plugins-2.0.3.tar.gz
./configure --prefix=/usr/local/nagios
make && make install
配置文件路径
/usr/local/nagios/etc
配置模板路径
/usr/local/nagios/etc/objects
检测插件路径
/usr/local/nagios/libexec
日志文件
/usr/local/nagios/var/nagios.log
下图可以看到磁盘空间不足的告警
启动
nagios -d /usr/local/nagios/etc/nagios.cfg
默认只监听本机
如果要监控远程设备上的cpu负载、内存使用、硬盘使用等，则需要在被监控机上安装nrpe软件包
ntop（ntopng）
http://www.ntop.org/
网络流量实时监控显示
网络流量的采集分析
yum install epel-release
yum install redis
yum install rrdtool-devel
git clone https://github.com/ntop/nDPI.git
cd nDPI
./configure –with-pic
makegit clone https://github.com/ntop/ntopng.git
cd ntopng./autogen.sh
./configure
make
make install数据路径
/var/tmp/ntopng
页面路径(lua语言编写)
/usr/local/share/ntopng
启动
/etc/init.d/redis start
ntopng -i eth0 -L –d页面
用户密码admin/admin
openvas
http://www.openvas.org/
漏洞扫描，风险评估
通过和目标主机tcp/ip端口建立连接，模拟请求并记录目标主机的应答，收集目标主机的相关信息来发现安全漏洞
wget -q -O - http://www.atomicorp.com/installers/atomic |sh
yum install openvas
openvas-setup
openvasmd --rebuild
openvasmd --update
openvasmd --migrate
启动
/etc/init.d/openvas-manager start
/etc/init.d/openvas-scanner start
/etc/init.d/gsad start
页面
https://<IP>:9392
用户密码在执行openvas-setup时配置
suricata
http://oisf.net/
对网络中的数据包进行检测
将网络数据包和规则库中的每一条规则匹配，匹配上了则报警。
sudo yum -y install libpcap libpcap-devel libnet libnet-devel pcre \
pcre-devel gcc gcc-c++ automake autoconf libtool make libyaml \
libyaml-devel zlib zlib-devel file-devel libcap-ng-devel
wget http://www.openinfosecfoundation.org/download/suricata-2.0.7.tar.gz
tar -zxvf suricata-2.0.7.tar.gz
LIBS="-lrt -lnuma" ./configure --prefix=/usr --sysconfdir=/etc --localstatedir=/var
make
make install-full
配置文件路径
/etc/suricata
规则文件路径
/etc/suricata/rules
告警日志路径
/var/log/suricata/
启动
suricata -i eth0 -c /etc/suricata/suricata.yaml
ossec
http://www.ossec.net/
基于主机的入侵检测系统，具备日志分析，文件完整性检查，策略监控，rootkit检测，实时报警以及联动响应等功能
日志分析:实时分析日志文件,将日志文件和规则匹配,匹配上了则告警
文件完整性检测:定时扫描指定文件夹,发现和上一次扫描不一致则告警
策略监控:如匹配上阻止某个IP地址的访问的策略
rootkit检测:匹配系统文件中的特征码
有三种安装方式，server、agent、local，如果有多台电脑都安装了ossec，那么就可以采用server/agent模式来安装运行。客户机通过客户端程序将数据发回到服务 器端进行分析，如果只有一台电脑安装ossec，可以采用local模式来安装运行
wget https://github.com/ossec/ossec-hids/archive/master.zip
unzip master.zip
cd ossec-hids-master/
./install.sh
根据实际情况选择yes/no
配置文件路径为/var/ossec/etc，其中主配置为ossec.conf
规则文件路径为/var/ossec/rules
数据路径/var/ossec/queue
告警日志文件为/var/ossec/logs/alerts/alerts.log
启动
/etc/init.d/ossec start
扫一扫
3050
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
