Tổng quan về hệ thống phát hiện xâm nhập ossec

OSSEC là hệ thống phát hiện xâm nhập HIDS (phát hiện xâm nhập dựa trên máy chủ), giám sát nhật ký và quản lý sự cố bảo mật (SIM) dựa trên log và là ứng dụng mã nguồn mở, đa nền tảng có thể mở rộng và có nhiều cơ chế bảo mật khác nhau.

Các lợi ích chính ossec mang lại

• Yêu cầu tuân thủ (Compliance Requirements): Nó cho phép phát hiện và cảnh báo về các thay đổi hệ thống tệp (file) trái phép và hành vi độc hại được nhúng trong tệp nhật ký (logs) của các ứng dụng cài đặt trên máy chủ.
• Hỗ trợ đa nền tảng (Multi platform): OSSEC có thể triển khai hệ thống trên nhiều nền tảng như Linux, Solaris, Windows và Mac OS X…
• Cảnh báo theo thời gian thực và có thể tùy chỉnh lại cấu hình cảnh báo: có tích hợp với smtp, sms và syslog cho phép bạn cập nhật các cảnh báo bằng cách gửi chúng đến các thiết bị hỗ trợ e-mail.
• Quản lý tập trung: OSSEC cung cấp một máy chủ quản lý tập trung được đơn giản hóa để quản lý các chính sách trên nhiều hệ điều hành.
• Giám sát các agent (máy trạm có cài đặt ossec-agent) và agentless (switch,firewall, router không cài đặt ossec-agent): cung cấp tính linh hoạt dựa trên tác nhân và không có tác nhân đối với các hệ thống và thành phần mạng như bộ định tuyến và tường lửa.

Các tính năng chính hệ thống phát hiện xâm nhập ossec

• Kiểm tra tính toàn vẹn của tập tin.
• Giám sát ghi log dịch vụ.
• Phát hiện rootkit.
• Phản ứng tích cực (Active response).

Mô hình hoạt động của hệ thống phát hiện xâm nhập ossec

OSSEC được thiết kế theo mô hình client – server, gồm 2 thành phần chính là OSSEC server và OSSEC agent

• Ossec sever: dùng để lưu trữ cơ sở dữ liệu của việc kiểm tra tính toàn vẹn file, kiểm tra log và các event, quản lý và lưu tất cả các rule, decoder (bộ giải mã), cấu hình chính. Điều này giúp dễ dàng quản lý, dù cho có lượng lớn Agent, không chạy trên hệ điều hành windown.
• Ossec agent: giúp thu thập các thông tin theo thời gian thực hoặc định kỳ và gửi về cho ossec server để phân tích, thống kê, có thể cài đặt ossec-agent trên hệ điều hành windown. Với các agentless kết nối để gửi thông điệp, log cho ossec-sever bằng các phương thức RPC.

Quy trình hoạt động

OSSEC hoạt động theo mô hình Client – Server:

• Các ossec-agent có trách nhiệm theo dõi và thu thập log từ các máy host được cài đặt, mã hóa chúng và gửi cho ossec-server theo giao thức UDP, cổng 1514.
• Ossec-server chịu trách nhiệm nhận log từ agent và phân tích chúng, so sánh với các rule được thiết lập.
• Log đã được xử lý sẽ được server chuyển về hệ thống được tích hợp ELK để lưu trữ và hiển thị cảnh báo cho admin theo giao diện web.

Bài viết này chỉ là những cái nhìn tổng quát về những khái niệm, kiến trúc và cách thức hoạt động của một hệ thống phát hiện xâm nhập dựa trên Host (Host base IDS) và bài viết tham khảo từ link tài liệu của ossec .

Bạn có thể tham khảo thêm nhiều bài viết về WAF tại đây

P.A Việt Nam cung cấp đa dạng các Plan Hosting WordPress đáp ứng yêu cầu của khách hàng
WordPress Hosting phổ thông
WordPress Hosting chất lượng cao
WordPress VIP

Tham khảo các ưu đãi: https://www.pavietnam.vn/vn/tin-khuyen-mai/