问题标签 [ossec]

哪个是部署在 Kubernetes Google Cloud Platform 上的最佳 HIDS（HostBase 入侵检测系统）

我想在 debian:stable-slim 上构建 docker 镜像

所以我一直在测试 ossec-docker 和 wazuh-docker 这里分别是 repos：

1. OSSEC：https ://github.com/Atomicorp/ossec-docker
2. WAZUH：https ://github.com/wazuh/wazuh-docker

wazuh-api=3.7.2-1 坏了，因为我无法在 debian:stable-slim 上安装它

使用 nodejs：6.10.0 或更高版本，因为它需要 nodejs 版本 >=4.6.0 但 api 无法安装

我需要知道是否有人可以建议我可以在 docker/Kubernetes 上配置和部署的 HostBase 入侵检测系统如果您有任何 github repo 链接将非常感谢该链接

我正在尝试修改文件的<config-profile>部分ossc.conf，包括谷物内容。

就像是：

我想<config-profile>从

至

在ossec.conf文件中

任何想法？

我开始使用 OSSEC，我想配置 Windows 代理。我已经按照文档和这个。我的服务器是一个 VM ubuntu，我想要一个 Windows 代理。

这是活性剂的输出。

vm:/var/ossec/etc# /var/ossec/bin/list_agents -c ** 没有可用的代理。

vm:~/ossec-hids-3.2.0# tcpdump -i ens3 src 192.168.8.69

tcpdump：详细输出被抑制，使用 -v 或 -vv 进行完整协议解码

监听 ens3，链接类型 EN10MB（以太网），捕获大小 262144 字节

13:44:30.979244 IP 192.168.8.69.55341 > 10.0.0.4.ssh: 标志 [.], ack >1445060350, win 16319, 长度 0

这是已添加代理的列表。

可用代理：ID：003，名称：WindowsAgent，IP：192.168.8.69

这是我的 Windows 代理经理。

在服务器端，我已经放弃了防火墙。

也许我应该在客户端也放弃防火墙？我也不太确定服务器端的 IP 地址——但这就是 ifconfig 的输出形式。

我有 shell 脚本，需要 4 个用户输入才能执行。我有 4 个文件，其中有一行用于 shell 脚本输入。我想通过 ansible 控制器将该 shell 脚本运行到我的 ansible 主机。有可能吗？

基本上，我将拥有一大堆将安装 ossec 代理的 ubuntu 容器，这些容器将与主服务器通信。我想自动化安装，因此使用dockerfile 中的 docker RUN变量我编写了一个脚本，该脚本下载 ossec tar 文件，将其解压缩，cds 进入目录并运行安装脚本，同时将参数传递给安装阶段的每个问题：

Dockerfile：

当它在脚本中回显参数时， install.sh 脚本将无限循环第二个问题。注意我已经尝试了 printf、expect script、yes 命令并尝试了容器内的脚本。所有的结果都是一样的。

我想通过 powershell 自动运行 ossec Windows Agent 服务（ossec win32ui.exe）。就像 ossec Linux 代理中的 ossec-control 一样。有什么方法可以实现这个目标吗？

我在 powershell 中运行 win32ui.exe 后的结果 其实在这个操作系统中，我已经设置了服务器 IP 和密钥配置，但是这些信息都没有加载。

我正在尝试根据文档覆盖规则，如下所示

https://documentation.wazuh.com/3.12/learning-wazuh/replace-stock-rule.html

因此，我将一条规则复制到 local_rules.xml，创建了自己的组（在此之前还尝试将其放在规则的原始组标记中），但似乎完全忽略了它：

这就是我在 local_rules.xml 中的内容：

我只将级别更改为 9 并添加了 overwrite="yes" 标记。这个想法是它不会向我发送此警报（因为我的阈值设置为 10+ 级），保存，重新启动，但它完全忽略它，我仍然收到带有 10 级标签的警报。

坦率地说，我开始不知道为什么会这样。

有任何想法吗？

谢谢。

OSSEC 能否用于检查 docker 内的文件。从我读过的内容来看，OSSEC 只能监控主机的文件完整性。

我有两个问题。我的直接问题是 WAZUH-AGENT 从未连接到 WAZUH-MANAGER

A. 这让我想，在安装 Wazuh Manager 时，我们在哪里提供 WAZUH MANAGER IP？

B. 我将 Windows 和 RHEL 机器注册为代理，但它们都无法连接 - 所有代理都处于 NEVER CONNECTED 状态。

从 windows 来看，是错误的。我正在使用端口#1515 和 TCP

错误：（1216）：无法连接到'xx.xxx.105.75'：'连接尝试失败，因为连接方在一段时间后没有正确响应，或者连接失败，因为连接的主机没有响应。

我什至尝试将 Kibana-Wazuh 应用程序中的 1515 更改为 1519。并将我的代理 IP 添加到白名单中，不确定这是否重要。

问题更多是关于架构的选择，然后是编码本身。我将我的应用程序部署在 AWS ECS（由运行容器的 ec2 实例组成的集群）上。如何在该设置中安装 OSSEC HIDS？作为每个应用程序容器的辅助容器，还是应该以某种方式集中？

谢谢你的任何提示。