OSSEC: Большой Брат наблюдает за тобой

[s1dney]

Ну зачем постить прямо тут конфиги в xml, это же могут читать дети!

[Neuronix]

Потому что это tutorial. Возможно, кому то это сможет даже помочь.

[Gendalph]

Может, стоит хоть под спойлер убрать?

[Armageddon]

Умеет OSSEC сервер передавать правила на свои агенты или нужно прописывать на каждом агенте вручную?

[kay]

Я бы не скказал, что у проекта великолепная документация. Не описано множество тонкостей.

Умеет отдавать конфигурацию. Правила прописываются на сервере, который занимается обработкой логов с агентов и на основе правил сервер высылает алерты

ossec-server генерирует конфигурацию и отправляет её на клиенты в неявном виде. т.е. на самих клиентах конфиг (rules), который отправил им ossec-server просмотреть невозможно, он висит где-то в памяти.

active-response у ossec очень сырой (по крайней мере был таковым на версии 2.7). ossec-client при срабатывании правил слал на сервер active-response по UDP и не удостоверялся в его получении. Приходилось запускать active-response локально на ossec-client'е, иногда с использованием ssh user@server «command_name», чтобы удостовериться в выполнении команды.

Со стороны кажется, что ossec великолепное решение, но изучив его подробно — выявляются очень неприятные баги или недоработки, который приходится «костылить».

[kay]

s/по крайней мере был таковым на версии 2.7/по крайней мере был таковым на версии 2.6/

[Claud]

Насколько сильно эта штука нагружает сервер?

[kay]

В зависимости от количества логов.

[Neuronix]

У меня на сервер работает сетевой syslog, порядка 1500 строк в секунду. Нагрузка увеличилась не сильно.