{"id":101,"date":"2018-10-14T23:15:37","date_gmt":"2018-10-14T21:15:37","guid":{"rendered":"http:\/\/gbiondi.tech2.it\/?p=101"},"modified":"2021-03-31T18:25:36","modified_gmt":"2021-03-31T16:25:36","slug":"ossec","status":"publish","type":"post","link":"http:\/\/gbiondi.tech2.it\/index.php\/2018\/10\/14\/ossec\/","title":{"rendered":"Ossec"},"content":{"rendered":"\n

Ossec \u00e8 un software HIDS freeware che ci permette di proteggere i nostri server dagli attacchi. Personalmente lo uso da molto tempo. Ho sostituito fail-to-ban con ossec, perch\u00e8 mi pare che funzioni meglio. Inoltre ha una funzione server, che viene bene in situazioni particolari come… la nostra.<\/p>\n\n\n\n

Ossec si pu\u00f2 installare in diverse modalit\u00e0: stand alone, server oppure agent. Il server raccoglie tutti i log degli agent e comanda agli agent cosa fare in caso di attacco. In parole povere, a me serviva che, se un agent rileva un attacco, il server invia a tutti gli agent di bloccare quel determinato IP in modo da mitigare l’attacco. Nel nostro caso vista la complessit\u00e0 della rete, i nostri web server sono colpiti da reverse proxy basati si HAProxy e non hanno la possibilit\u00e0 di divendersi in quanto il proxy rigenera la sorgente quindi il server web ‘vede’ come sorgente l’ip di HAProxy. Da qui l’idea di installare un agent su HAProxy e sui web server in modo che, nel momento che un agent su un web server rileva un attacco venga informato il server che inoltra il comando di chiusura a tutti gli agent e quindi anche all’agent di HAProxy, di fatto chiudendo la comunicazione con l’IP attaccante. Tutto questo \u00e8 semplicemente eseguito da una regola sul server dentro al blocco active-response: <\/p>\n\n\n\n

<location>all<\/location><\/p>\n\n\n\n

Con questa istruzione ossec server invia a tutti gli agent il comando di blocco.<\/p>\n\n\n\n

La GUI<\/p>\n\n\n\n

Ho trovato un documento che descrive come installare Splunk con una applicazione ossec in modo da avere una gui degna di questo nome: la gui di ossec server non ha molta utilit\u00e0 a parer mio. Inoltre si pu\u00f2 utilizzare Splunk in quanto (almeno nel mio caso) i log sono sotto alla soglia oltre la quale occorre acquistare una licenza per Splunk. Il documento che spiega molto bene un’installazione ossec ‘quick and dirty’ lo trovate a questo indirizzo: (Grazie a Nicolas Zin)<\/p>\n\n\n\n

https:\/\/blog.savoirfairelinux.com\/wp-content\/uploads\/2014\/03\/SFL-ED01-OSSec-the-quick-and-dirty-way-140326-01.pdf<\/a><\/p>\n\n\n\n

Vi allego qualche screenshot:<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n
\"\"<\/figure>\n","protected":false},"excerpt":{"rendered":"

Ossec \u00e8 un software HIDS freeware che ci permette di proteggere i nostri server dagli attacchi. Personalmente lo uso da molto tempo. Ho sostituito fail-to-ban con ossec, perch\u00e8 mi pare che funzioni meglio. Inoltre ha una funzione server, che viene bene in situazioni particolari come… la nostra. Ossec si pu\u00f2 installare in diverse modalit\u00e0: stand … <\/p>\n

Leggi tutto “Ossec”<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4],"tags":[],"class_list":["post-101","post","type-post","status-publish","format-standard","hentry","category-tecnica"],"_links":{"self":[{"href":"http:\/\/gbiondi.tech2.it\/index.php\/wp-json\/wp\/v2\/posts\/101","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/gbiondi.tech2.it\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/gbiondi.tech2.it\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/gbiondi.tech2.it\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/gbiondi.tech2.it\/index.php\/wp-json\/wp\/v2\/comments?post=101"}],"version-history":[{"count":6,"href":"http:\/\/gbiondi.tech2.it\/index.php\/wp-json\/wp\/v2\/posts\/101\/revisions"}],"predecessor-version":[{"id":146,"href":"http:\/\/gbiondi.tech2.it\/index.php\/wp-json\/wp\/v2\/posts\/101\/revisions\/146"}],"wp:attachment":[{"href":"http:\/\/gbiondi.tech2.it\/index.php\/wp-json\/wp\/v2\/media?parent=101"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/gbiondi.tech2.it\/index.php\/wp-json\/wp\/v2\/categories?post=101"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/gbiondi.tech2.it\/index.php\/wp-json\/wp\/v2\/tags?post=101"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}