OSSEC HIDS: защита серверов от вторжений в реальном времени

OSSEC (Open Source Security) — это хостовая система обнаружения вторжений, HIDS. Если коротко: она живёт прямо на сервере и следит за всем, что там происходит — анализирует логи, контролирует целостность файлов (FIM), ищет rootkit'ы, проверяет соответствие политикам безопасности и умеет сама блокировать угрозы. Сетевые IDS вроде Snort или Suricata смотрят на трафик снаружи — OSSEC смотрит изнутри, и именно поэтому видит то, что снаружи просто не заметно.

Архитектура у OSSEC клиент-серверная, ничего экзотического:

• OSSEC Server (Manager) — мозг всей системы: принимает данные от агентов, прогоняет их через правила и складывает алерты
• OSSEC Agent — ставится на каждый сервер, который хотите защитить; собирает данные и гонит их на Manager
• Agentless mode — если ставить агент некуда (сетевое оборудование, legacy-железо), мониторинг идёт через SSH

Что умеет OSSEC из коробки:

• Анализ логов в реальном времени — syslog, Apache, Nginx, auth.log, Windows Event Log и многое другое
• File Integrity Monitoring (FIM) — моментально видит, если кто-то тронул критический файл
• Поиск rootkit'ов через проверку файловой системы и ядра
• Active Response — сам блокирует подозрительные IP через iptables или firewalld, без вашего участия
• Compliance-проверки — PCI DSS, HIPAA, CIS Benchmarks; удобно, когда нужен аудит

Установка OSSEC Server на Ubuntu/Debian:

# Установка зависимостей
apt update && apt install -y build-essential gcc make unzip \
  libz-dev libssl-dev libpcre2-dev libevent-dev libsystemd-dev

# Загрузка OSSEC
wget https://github.com/ossec/ossec-hids/archive/refs/tags/3.7.0.tar.gz
tar xzf 3.7.0.tar.gz
cd ossec-hids-3.7.0

# Установка в режиме сервера
sudo LANGUAGE=en ./install.sh

# При установке выберите:
# - Installation type: server
# - Installation directory: /var/ossec (по умолчанию)
# - Email notification: yes (укажите SMTP)
# - Integrity check daemon: yes
# - Rootkit detection: yes
# - Active response: yes
# - Firewall-drop response: yes

# Запуск OSSEC
sudo /var/ossec/bin/ossec-control start

# Проверка статуса
sudo /var/ossec/bin/ossec-control status

Агент ставится на каждый сервер, который нужно защитить, и подключается к OSSEC Manager. Без этого шага Manager просто не будет получать данные.

Вся конфигурация OSSEC живёт в одном файле — /var/ossec/etc/ossec.conf. Разберём, какие секции там главные.

Active Response — это то, что отличает OSSEC от простого логгера. Система не просто фиксирует угрозу, она реагирует: блокирует IP через файрвол, отключает учётные записи, запускает любой скрипт, который вы укажете.

<!-- /var/ossec/etc/ossec.conf -->

<!-- Определение команды блокировки -->
<command>
  <name>firewall-drop</name>
  <executable>firewall-drop</executable>
  <timeout_allowed>yes</timeout_allowed>
</command>

<!-- Блокировка при brute-force SSH (rule 5712) -->
<active-response>
  <command>firewall-drop</command>
  <location>local</location>
  <rules_id>5712</rules_id>
  <timeout>3600</timeout>
</active-response>

<!-- Блокировка при множественных ошибках аутентификации (level 10+) -->
<active-response>
  <command>firewall-drop</command>
  <location>all</location>
  <level>10</level>
  <timeout>600</timeout>
</active-response>

<!-- Белый список: IP, которые никогда не блокируются -->
<global>
  <white_list>10.0.0.0/24</white_list>
  <white_list>192.168.88.0/24</white_list>
</global>

В OSSEC сотни встроенных правил. Но в реальных проектах этого почти никогда не хватает — у каждой инфраструктуры свои особенности. Свои правила пишем в /var/ossec/rules/local_rules.xml, туда же они и складываются.

<!-- /var/ossec/rules/local_rules.xml -->
<group name="local,custom,">

  <!-- Обнаружение sudo с неизвестным паролем -->
  <rule id="100001" level="10">
    <if_sid>5401</if_sid>
    <match>3 incorrect password attempts</match>
    <description>Multiple failed sudo attempts</description>
    <group>authentication_failed,</group>
  </rule>

  <!-- Обнаружение новых cron-задач -->
  <rule id="100002" level="8">
    <if_sid>2830</if_sid>
    <match>REPLACE</match>
    <description>New crontab entry detected</description>
  </rule>

  <!-- Обнаружение изменения /etc/passwd -->
  <rule id="100003" level="12">
    <if_sid>550</if_sid>
    <match>/etc/passwd</match>
    <description>Critical: /etc/passwd was modified</description>
    <group>ossec,syscheck,</group>
  </rule>

  <!-- Обнаружение массовых 404 ошибок (сканирование) -->
  <rule id="100004" level="8" frequency="20" timeframe="60">
    <if_matched_sid>31101</if_matched_sid>
    <description>Web scanning detected: multiple 404 errors</description>
    <group>web,attack,</group>
  </rule>

</group>

После любых изменений в правилах — перезапуск обязателен:

# Проверка синтаксиса
sudo /var/ossec/bin/ossec-logtest

# Перезапуск
sudo /var/ossec/bin/ossec-control restart

Алерты OSSEC пишет в /var/ossec/logs/alerts/. Смотреть их через grep — можно, но неудобно. На больших инфраструктурах без веб-интерфейса или интеграции с SIEM быстро теряешься в потоке событий.

# Просмотр последних алертов
sudo tail -f /var/ossec/logs/alerts/alerts.log

# Просмотр алертов в JSON-формате
sudo tail -f /var/ossec/logs/alerts/alerts.json

# Статистика по агентам
sudo /var/ossec/bin/agent_control -l

# Детали по конкретному агенту
sudo /var/ossec/bin/agent_control -i 001

# Сводка по syscheck (изменённые файлы)
sudo /var/ossec/bin/syscheck_control -l -a 001

# Последние изменения файлов на агенте
sudo /var/ossec/bin/syscheck_control -i 001 -f /etc/passwd