Ossec添加Agent端流程总结

(1) 服务器上添加客户端

在服务器上添加客户端，执行如下命令，按照提示进行输入，红色部分是我们输入的：

[root@ossec-server logs]# /var/ossec/bin/manage_agents

 

   ****************************************

   * OSSEC HIDS v2.7 Agent manager.     *

   * The following options are available: *

   ****************************************

      (A)dd an agent (A).

      (E)xtract key for an agent (E).

      (L)ist already added agents (L).

      (R)emove an agent (R).

      (Q)uit.

Choose your action: A,E,L,R or Q: A
•Adding a new agent (use 'q' to return to the main menu). Please provide the following:
◦A name for the new agent: ossec-agent
◦The IP Address of the new agent: 192.168.100.104
◦An ID for the new agent[001]: Agent information: ID:001 Name:ossec-agent IP Address:192.168.100.104

Confirm adding it?(y/n): y Agent added.

然后程序会重新进入到第一次的界面，如下，我们导出刚才添加的那个agent的key，用于后面的客户端连接到服务端：

   ****************************************

   * OSSEC HIDS v2.7 Agent manager.     *

   * The following options are available: *

   ****************************************

      (A)dd an agent (A).

      (E)xtract key for an agent (E).

      (L)ist already added agents (L).

      (R)emove an agent (R).

      (Q)uit.

Choose your action: A,E,L,R or Q: E

Available agents: ID: 001, Name: ossec-agent, IP: 192.168.100.104 Provide the ID of the agent to extract the key (or 'q' to quit): 001

Agent key information for '001' is: MDAxIG9zc2VjLWFnZW50IDE5Mi4xNjguMTAwLjEwNCAzZWJmZWMzZmRlYzE2ODgzZmEyMzc0NWI5MWMyZDlmNmIyNDViZDMxNjBkZGRiM2FlMTk4NDA3ODNiNDFhYzYz

** Press ENTER to return to the main menu.

(2) 安装OSSEC客户端

由于我们本身客户端也是Linux服务器，而ossec的服务端和客户端是同一个安装包，所以在客户端上下载安装包，并且解压安装，如下。

 [root@ossec-server ~]# wget http://www.ossec.net/files/ossec-hids-2.7.tar.gz

[root@ossec-server ~]# tar zxf ossec-hids-2.7.tar.gz

[root@ossec-server ~]# cd ossec-hids-2.7

[root@ossec-server ~]# ./install.sh

** Para instalação em português, escolha [br]. ** 要使用中文进行安装, 请选择 [cn]. ** Fur eine deutsche Installation wohlen Sie [de]. ** Για εγκατάσταση στα Ελληνικά, επιλέξτε [el]. ** For installation in English, choose [en]. ** Para instalar en Español , eliga [es]. ** Pour une installation en français, choisissez [fr] ** A Magyar nyelvű telepítéshez válassza [hu]. ** Per l'installazione in Italiano, scegli [it]. ** 日本語でインストールします．選択して下さい．[jp]. ** Voor installatie in het Nederlands, kies [nl]. ** Aby instalować w języku Polskim, wybierz [pl][/pl]. ** Для инструкций по установке на русском ,введите [ru]. ** Za instalaciju na srpskom, izaberi [sr]. ** Türkçe kurulum için seçin [tr]. (en/br/cn/de/el/es/fr/hu/it/jp/nl/pl/ru/sr/tr) [en]: cn OSSEC HIDS v2.7 安装脚本 - http://www.ossec.net

您将开始 OSSEC HIDS 的安装. 请确认在您的机器上已经正确安装了 C 编译器. 如果您有任何疑问或建议,请给 dcid@ossec.net (或 daniel.cid@gmail.com) 发邮件.
•系统类型: Linux ossec-agent 2.6.18-164.el5
•用户: root
•主机: ossec-agent

-- 按 ENTER 继续或 Ctrl-C 退出. --

1- 您希望哪一种安装 (server, agent, local or help)? agent
•选择了 Agent(client) 类型的安装.

2- 正在初始化安装环境.
•请选择 OSSEC HIDS 的安装路径 [/var/ossec]: /opt/ossec
◦OSSEC HIDS 将安装在 /opt/ossec .

3- 正在配置 OSSEC HIDS.

3.1- 请输入 OSSEC HIDS 服务器的IP地址或主机名: 192.168.***.***
•添加服务器IP 192.168.***.***

3.2- 您希望运行系统完整性检测模块吗? (y/n) [y]:
•系统完整性检测模块将被部署.

3.3- 您希望运行 rootkit检测吗? (y/n) [y]:
•rootkit检测将被部署.

3.4 - 您希望开启联动(active response)功能吗? (y/n) [y]:

3.5- 设置配置文件以分析一下日志: -- /var/log/messages -- /var/log/secure -- /var/log/xferlog -- /var/log/maillog -- /var/log/httpd/error_log (apache log) -- /var/log/httpd/access_log (apache log)

-如果你希望监控其他文件, 只需要在配置文件ossec.conf中 添加新的一项. 任何关于配置的疑问您都可以在 http://www.ossec.net 找到答案.

--- 按 ENTER 以继续 ---

5- 正在安装系统 - 正在运行Makefile INFO: Little endian set.

…………省略编译输出…………
•系统类型是 Redhat Linux.
•修改启动脚本使 OSSEC HIDS 在系统启动时自动运行
•已正确完成系统配置.
•要启动 OSSEC HIDS: /opt/ossec/bin/ossec-control start
•要停止 OSSEC HIDS: /opt/ossec/bin/ossec-control stop
•要查看或修改系统配置,请编辑 /opt/ossec/etc/ossec.conf

感谢使用 OSSEC HIDS. 如果您有任何疑问,建议或您找到任何bug, 请通过　contact@ossec.net 或邮件列表 ossec-list@ossec.net 联系我们.
 ( http://www.ossec.net/en/mailing_lists.html ).

您可以在　http://www.ossec.net 获得更多信息

--- 请按　ENTER 结束安装 (下面可能有更多信息). ---
•您必须首先将该代理添加到服务器端以使他们能够相互通信. 这样做了以后,您可以运行'manage_agents'工具导入 服务器端产生的认证密匙. /opt/ossec/bin/manage_agents

详细信息请参考: http://www.ossec.net/en/manual.html#ma

(3) 配置OSSEC客户端

---

其实配置ossec客户端就是把刚才由服务端生成的key，在客户端中导入，执行如下命令 [root@ossec-agent ossec-hids-2.7]# /opt/ossec/bin/manage_agents

****************************************

* OSSEC HIDS v2.7 Agent manager.     *

* The following options are available: *

****************************************

   (I)mport key from the server (I).

   (Q)uit.

Choose your action: I or Q: I
•Provide the Key generated by the server.
•The best approach is to cut and paste it. *** OBS: Do not include spaces or new lines.

Paste it here (or 'q' to quit): MDAxIG9zc2VjLWFnZW50IDE5Mi4xNjguMTAwLjEwNCAzZWJmZWMzZmRlYzE2ODgzZmEyMzc0NWI5MWMyZDlmNmIyNDViZDMxNjBkZGRiM2FlMTk4NDA3ODNiNDFhYzYz

Agent information: ID:001 Name:ossec-agent IP Address:192.168.100.104

Confirm adding it?(y/n): y Added. ** Press ENTER to return to the main menu.

最后启动客户端

[root@ossec-agent ossec-hids-2.7]# /opt/ossec/bin/ossec-control start

或者执行

[root@ossec-agent ossec-hids-2.7]# /etc/init.d/ossec start

ps:两点注意事项

1. 目前客户端的最新版本是ossec-hids-2.8.3.tar.gz，如果你的某台客户端以前装过老版本的话

可以直接安装2.8.3的安装包的，程序会提示你 要不要升级，选择升级后按着向导一步一步点下去就即可。

2. 如果要监控的客户端环境是64位的windows，但是官网上给出的貌似只有32位的安装包，可以直接安装，不影响使用。