🥇▷ Como proteger linux con ossec

 

OSSEC (Open Source Security Information and Event Management) es un sistema de detección de intrusos de código abierto y una plataforma de seguridad de la información. OSSEC se utiliza para monitorear y analizar registros de seguridad, así como para detectar y responder a posibles amenazas y ataques en sistemas de cómputo y redes.

Características clave de OSSEC:

1. Detección de Intrusos: OSSEC realiza un seguimiento de los registros de seguridad, las configuraciones del sistema y las actividades de red para detectar patrones sospechosos o comportamientos anómalos que puedan indicar intrusiones.

2. Alertas y Notificaciones: Cuando OSSEC detecta una posible amenaza, genera alertas y notificaciones en tiempo real, lo que permite a los administradores de seguridad tomar medidas inmediatas para abordar el problema.

3. Análisis de Registro: OSSEC incluye un potente motor de análisis de registros que permite correlacionar eventos de seguridad y filtrar datos irrelevantes para reducir el ruido de la información.

4. HIDS y NIDS: OSSEC puede funcionar como un Host-Based Intrusion Detection System (HIDS) al monitorear la actividad en sistemas individuales y como un Network-Based Intrusion Detection System (NIDS) al analizar el tráfico de red.

5. Integración de Fuentes de Datos: OSSEC puede integrarse con una variedad de fuentes de datos, incluidos registros de sistema, registros de aplicaciones, registros de bases de datos, registros de firewall y más.

6. Reglas Personalizadas: Los administradores pueden crear reglas personalizadas para definir qué eventos y actividades deben ser monitoreados y cómo deben manejarse las alertas.

7. Recopilación de Información Forense: OSSEC proporciona herramientas para la recopilación de información forense, lo que facilita la investigación y el análisis de incidentes de seguridad.

8. Soporte Multiplataforma: OSSEC es compatible con una variedad de sistemas operativos, incluidos Linux, Windows y Unix, lo que lo hace adecuado para entornos heterogéneos.

9. Escalabilidad: OSSEC es escalable y puede adaptarse a entornos con múltiples sistemas y redes.

10. Código Abierto: Siendo de código abierto, OSSEC es gratuito y su código fuente está disponible para su inspección y personalización.

OSSEC es utilizado por administradores de sistemas y profesionales de seguridad en todo el mundo para mejorar la seguridad de sus sistemas y redes. Proporciona una capa adicional de protección contra amenazas y ayuda a identificar incidentes de seguridad de manera temprana, lo que es esencial en la defensa cibernética y la respuesta a incidentes.

La instalación de OSSEC (Open Source Security Information and Event Management) puede variar según el sistema operativo que estés utilizando. Aquí te proporciono una guía general para instalar OSSEC en sistemas basados en Linux. En este ejemplo, se utilizará Ubuntu como sistema operativo. Ten en cuenta que debes tener privilegios de superusuario (root) o utilizar el comando "sudo" para realizar la instalación.

Paso 1: Preparación

Asegúrate de que tu sistema esté actualizado ejecutando:

 sudo apt update
sudo apt upgrade

Paso 2: Descarga y descomprime OSSEC

1. Descarga la última versión de OSSEC desde el sitio web oficial o utiliza el siguiente comando para descargarlo:

wget https://github.com/ossec/ossec-hids/archive/3.6.0.tar.gz
 

 Descomprime el archivo:

 tar -zxvf 3.6.0.tar.gz

 

Paso 3: Instalación interactiva de OSSEC

Ejecuta el script de instalación interactiva que se encuentra en el directorio recién descomprimido:

 cd ossec-hids-3.6.0
sudo ./install.sh

El script te guiará a través del proceso de instalación. A continuación, se presentan algunas consideraciones durante la instalación:

• Deberás aceptar los términos y condiciones de uso.
• Puedes elegir entre varios tipos de instalación, como servidor, agente o local. Si estás instalando OSSEC en el mismo sistema donde gestionarás los registros, selecciona "local".
• Se te pedirá que establezcas una contraseña para el usuario "ossec" que se crea durante la instalación.
• Puedes aceptar la configuración predeterminada o personalizarla según tus necesidades. Si no tienes experiencia previa con OSSEC, es posible que desees aceptar la configuración predeterminada.

Paso 4: Configuración adicional

Dependiendo de tus necesidades, es posible que desees realizar configuraciones adicionales en OSSEC. El archivo de configuración principal se encuentra en /var/ossec/etc/ossec.conf. Puedes modificar este archivo según sea necesario.

Paso 5: Iniciar y habilitar el servicio OSSEC

Inicia el servicio OSSEC:

 sudo /var/ossec/bin/ossec-control start

Para asegurarte de que OSSEC se inicie automáticamente en el arranque, ejecuta:

 sudo /var/ossec/bin/ossec-control enable

 

Paso 6: Acceder a la interfaz de OSSEC (opcional)

OSSEC proporciona una interfaz web llamada "OSSEC Analysis Console" (OSSEC-AC) que puedes utilizar para visualizar y gestionar las alertas y eventos de seguridad. Puedes acceder a la interfaz web a través de tu navegador ingresando la dirección IP de tu servidor y el puerto 55000 (por defecto). Por ejemplo, http://tu-direccion-ip:55000.

Paso 7: Configuración de reglas personalizadas (opcional)

Si deseas crear reglas personalizadas, puedes editar el archivo de reglas personalizadas ubicado en /var/ossec/etc/rules/local_rules.xml.

Recuerda que esta es una guía general para la instalación de OSSEC en sistemas Linux. La instalación y configuración exactas pueden variar según tu entorno y tus necesidades específicas de seguridad. Asegúrate de consultar la documentación oficial de OSSEC y realizar configuraciones adicionales según sea necesario para proteger tu sistema de acuerdo con las mejores prácticas de seguridad.

A continuación, te proporciono algunos ejemplos de reglas personalizadas en OSSEC para diferentes situaciones. Estas reglas pueden servir como punto de partida, pero es importante adaptarlas a tus necesidades específicas de seguridad y monitoreo.

Ejemplo 1: Detección de intentos de inicio de sesión fallidos

Esta regla personalizada puede ser útil para detectar intentos de inicio de sesión fallidos en un servidor. Generará una alerta cuando se registren múltiples intentos de inicio de sesión fallidos en un corto período de tiempo.

<group name="custom">
  <rule id="100001" level="6">
    <decoded_as>json</decoded_as>
    <field name="message">Failed login attempt</field>
  </rule>
</group>


En este ejemplo, estamos buscando un mensaje que contenga la frase "Failed login attempt" en registros que se decodifican como JSON y establecemos el nivel de alerta en 6.
Ejemplo 2: Detección de cambios en archivos de configuración sensibles
Esta regla personalizada puede ayudarte a detectar cambios no autorizados en archivos de configuración críticos. En este caso, estamos monitoreando el archivo /etc/sensitive_config.conf.

<group name="custom">
  <rule id="100002" level="7">
    <decoded_as>json</decoded_as>
    <field name="file">/etc/sensitive_config.conf</field>
    <description>Detected change in sensitive_config.conf</description>
  </rule>
</group>

Esta regla buscará un evento que incluya el archivo /etc/sensitive_config.conf, y si se detecta un cambio en ese archivo, generará una alerta con nivel 7.

Ejemplo 3: Detección de escaneo de puertos

Esta regla personalizada puede utilizarse para detectar intentos de escaneo de puertos en un servidor. En este ejemplo, buscamos eventos que incluyan "Port scan" en el mensaje.

 <group name="custom">
  <rule id="100003" level="8">
    <decoded_as>json</decoded_as>
    <field name="message">Port scan</field>
  </rule>
</group>

La regla generará una alerta con nivel 8 cuando se detecte el mensaje "Port scan" en los registros decodificados como JSON.

Estos son solo ejemplos básicos de reglas personalizadas en OSSEC. Puedes crear reglas más complejas y específicas según tus necesidades de seguridad. Es importante ajustar las reglas, niveles de alerta y otros parámetros según tu entorno y el tipo de amenazas que deseas detectar. Además, asegúrate de supervisar regularmente las alertas generadas por OSSEC y ajustar las reglas para evitar falsos positivos y garantizar una detección precisa de amenazas.