Archivo de Configuracion OSSEC

El ossec.conf es el archivo de configuración principal del sistema de detección de intrusos Ossec, está basado en código xml para que sea de fácil entendimiento y además por su organización basada en tags o etiquetas.

La ruta de este archivo es la siguiente: /var/ossec/etc/
El archivo ossec.conf está conformado por una etiqueta global llamada <ossec_config>

Dentro de esta etiqueta global se encuentran el siguiente listado de etiquetas.

ETIQUETA	DESCRIPCION
<global>	Configuración general usada en las instalaciones locales y de servidor.
<alerts>	Opciones de email y alertas de log
<email_alerts>	Opciones de alerta granular de email
<rules>	Lista de reglas incluidas
<syscheck>	Directorios del sistema a chequear
<localfile>	Archivos a monitorizar localmente en el equipo
<command>	Archivos .sh que se ejecuta según orden de active-response
<active-response>	Configuración de la respuesta activa

Etiqueta <global>  -  Dentro de la etiqueta global van las siguientes etiquetas:

<email_notificacion>   - En esta etiqueta van dos valores yes o no, al escribir yes activamos la notificación por email y con el valor no lo desactivamos.

<email_to>  - Esta etiqueta me permite escribir la dirección a la cual deseo recibir dichas notificaciones de email.

<smtp_server>  - Aquí va indicada la dirección ip del servidor de correos.

<email_from>  - En esta subetiqueta escribo la dirección a la cual deseo recibir los email.

Ejemplo:

<global>    <email_notification>yes</email_notification>    <email_to>root@arreaga.com</email_to>    <smtp_server>192.168.3.121</smtp_server>    <email_from>ossecm@jonathan.arreaga.com</email_from> </global>

Etiqueta <alerts>  -  Dentro de la etiqueta alerts van las siguientes etiquetas:

<log_alert_level> - Esta etiqueta indica desde que nivel, deseo las alertas de registro.

<email_alert_level> - En esta etiqueta indico desde que nivel deseo mis alertas mediante email.

Ejemplo:

<alert>   <log_alert_level>1</log_alert_level>   <email_alert_level>7</email_alert_level> </alerts>

Etiqueta <email_alerts>  -  Dentro de la etiqueta alerts van las siguientes etiquetas:

<email_to> - Con esta etiqueta se puede indicar a que dirección de correo deseo alertar.

<level> - Esta etiqueta me permite indicar el nivel de alerta que se desee enviar el correo.

<group> - En esta etiqueta especifico a que grupo de reglas que están en la etiqueta <rules> deseo las alertas de email. VER Sección 3.2.

Ejemplo1: <email_alerts>   <email_to>root@arreaga.com</email_to>   <level>8</level>   <group>sshd</group>  </email_alerts>

Ejemplo 2:  <email_alerts>    <email_to>root@arreaga.com</email_to>    <level>6</level>    <group>apache</group> </email_alerts>

Etiqueta <rules>

<include> - Esta etiqueta permite incluir el archivo .xml de una regla que se encuentra en la siguiente ruta: /var/ossec/rules

Ejemplo:

<rules>   <include>rules_config.xml</include>   <include>sshd_rules.xml</include>   <include>telnetd_rules.xml</include>   ………………………  </rules>

Etiqueta <syscheck>  - Dentro de la etiqueta syscheck van las siguientes etiquetas:

<frequency> - Esta etiqueta especifica la frecuencia en la cual syscheck se ejecuta

<directories> - Con esta etiqueta indico que directorios van a ser chequeados por syscheck.
La etiqueta tiene varias opciones y su sintaxis seria asi: <directories opción = “yes”>

Opciones:
check_all  =  Realiza todos los disponibles chequeos de integridad.
check_sum  =  Usa md5/sha1 para chequear la integridad de los archivos.
check_size =  Chequea archivos por cambios de tamaño.
check_owner  =  Chequea archivos por cambio de propietario.
check_group  =  Chequea archivos por cambio de propietario de grupo.
check_perm =  Chequea archivos por cambios de permiso.

<ignore> - Aquí yo específico los directorios o archivos a ignorar.

Ejemplo:

<syscheck>   <frequency>79200</frequency>   <directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories>   <directories check_all="yes">/bin,/sbin</directories>   <directories check_all="yes">/var/www/html</directories>   <ignore>/etc/utmpx</ignore>   <ignore>/etc/dumpdates</ignore>   <ignore>/etc/svc/volatile</ignore> </syscheck>

Etiqueta <localfile> - Dentro de la etiqueta localfile van las siguientes etiquetas:

<log_format> - Formato del archivo log a ser monitorizado, si el archivo log es tiene entradas por línea se recomienda el formato syslog.
<location> - La ruta entera del archivo log.

Ejemplo1:  <localfile>   <log_format>syslog</log_format>   <location>/var/log/maillog</location> </localfile>

Ejemplo2: <localfile>   <log_format>apache</log_format>   <location>/var/log/httpd/error_log</location> </localfile>

Etiqueta <command> - En esta etiqueta configuro la integración del archivo ejecutable .sh que se encuentra en la ruta “/var/ossec/active-response/bin”, para luego ser usado en respuesta activa.

<name> - Dentro de esta etiqueta se pone el nombre del comando.
<executable> - En esta etiqueta se escribe el nombre del archivo ejecutable script .sh
<expect> - El destino del comando a ejecutarse, puede ser:
<expect>user</expect>
<expect>srcip</expect>
<timeout_allowed> - Permisión del tiempo que culmina el comando, puede ser yes o no.

Ejemplo:

<command>   <name>firewall-drop</name>   <executable>firewall-drop.sh</executable>   <expect>srcip</expect>   <timeout_allowed>yes</timeout_allowed> </command>

Etiqueta <active-response> - Esta etiqueta permite ejecutar automaticamente un comando establecido por la etiqueta command, siempre y cuando se cumplan las condiciones establecidas por esta etiqueta.

<disabled> - Contiene dos valores yes o no, no para activar y yes para desactivar la respuesta activa.
<command> - Esta etiqueta se referencia algún comando que incluí en las etiquetas <command> previamente.
<location> - Aquí se define donde el comando es ejecutado, puede ser: local, server, defined-agent y all.
<level> - Nos permite configurar a partir de qué nivel deseo se active el active response cuando exista alguna coincidencia de regla.
<rules_id> - Aquí va el identificador numérico de una regla en particular.
<rules_group> - El comando es ejecutado por cualquier regla y grupo de regla que coincida con mi configuración. (ver reglas tema 3.2)
<timeout> - El tiempo en segundos que dura la respuesta activa.

Ejemplo:

<active-response>   <disabled>no</disabled>   <command>firewall-drop</command>   <location>local</location>   <level>10</level>   <rules_id>5712,5720</rules_id>   <rules_group>authentication_failures</rules_group> </active-response>

En este ejemplo vemos que en esta respuesta activa se ejecutará el comando firewall-drop localmente a partir del nivel 10 de las regla número 5712 y 5720 que pertenecen al grupo de regla authentication_failures.