WGA如何政AV输击？
点击联系发帖人
时间：2023-11-30 10:30
1. EDR的由来任何具有网络 IP 地址的设备，只要被允许与组织的网络进行交互，都是一个端点。下面是一些关键端点威胁:可执行文件包（恶意软件）潜在不受欢迎程序 (PUA)，比如广告软件勒索软件，比如文件加密器和磁盘加密器（擦除器）基于漏洞的攻击和文件攻击，比如伪装后的文档（通常是经过精心制作或修改以造成损害的办公程序）和恶意脚本（通常是隐藏在合法程序和网站中的恶意代码）主动攻击技术，包括权限提升（攻击者在系统中获取额外访问权限的方法）、身份盗窃（窃取用户名和密码）和代码洞（将恶意代码隐藏在合法应用程序中）等等。在过去十多年里，端点安全仅仅指的是杀毒软件一种产品。随着安全威胁形态的演化，传统端点安全产品存在的问题越来越突出：应对机制是被动的，组织只有受到攻击后才能感知和捕获，并将其特征放到病毒库中，然后通过升级杀毒软件并应用到用户才能应对。Gartner 的 AntonChuvakin 于 2013 年 7 月首次创造了端点威胁检测和响应 (Endpoint Threat Detection and Response，ETDR) 这一术语，用来定义一种 “检测和调查主机 / 端点上可疑活动（及其痕迹）” 的工具。后来通常称为端点检测和响应 (EDR)。EDR 的出现有助于解决这些问题：要 “看到” 未知威胁是非常有难度的，其关键就在于检测异常行为。EDR 通过对端点进行持续检测，发现异常行为并进行实时干预，同时通过应用程序对操作系统调用等异常行为分析，检测和防护未知威胁，结合机器学习和人工智能辅助判断，最终达到杀毒软件无法解决未知威胁的目的。1.1 EDR与AV的区别人们常问的一个问题是 EDR 与传统反病毒软件(AV)或下一代反病毒(NGAV)之间的区别。 在他们看来，他们不需要这两种技术。 但事实并非如此。 事实上，这两种技术在保护你的网络方面有不同的用途。 反病毒和下一代反病毒专注于预防，但对攻击期间发生的情况一无所知。 它们被设计用来在坏的东西进入你的网络之前捕捉它们。 但是即使它们正确地做到了这一点，它们也不能告诉你恶意软件来自哪里，以及它们是如何在系统中传播的。 EDR 描述的是整个攻击过程，并帮助你跟踪可执行文件是如何获得对计算机的访问权限并尝试运行的。 EDR 不仅提供了可见性，当一个攻击行为被 AV 阻止，或者是一个不错 NGAV 防控失败，那么在这种情况下，你最有可能处理发的是一个严重的攻击，如无文件型的恶意软件，零日漏洞，或高级持续性威胁。 这些类型的攻击不会留下签名，这使得它们更难防范，而且如果没有 EDR 这样的服务几乎不可能被发现。 它会警告你攻击未遂，当攻击者已经绕过你的所有防御措施并在你的网络中时，EDR 会为你提供洞察能力。1.2 EDR 与 SIEM 的区别另一个常见的问题是 EDR 与安全信息和事件管理(SIEM)之间的区别。 SIEM 是一种从防火墙、服务器和网络设备收集日志的技术。 它整合了你的所有网络日志，以帮助跟踪行为、识别威胁并进行调查。 但是，你必须设置规则和查询来告诉 SIEM 要查找什么以及要跟踪什么行为。 SIEM 是一个非常好的服务，可以全面地观察发生在你的网络上的活动。 EDR 专门整合和分析端点数据，为分析人员提供设备，xise而不是要求他们分析成千上万的日志或事件。 最终，这两种技术服务于不同的目的，并且可以在一个安全的网络环境中相互补充，但是 EDR 的主要目的是简化并有效地检测和应对威胁。2. OSSECOSSEC是一个将HIDS（基于主机的入侵检测），日志监视以及安全事件管理（SIM）/安全信息和事件管理（SIEM）结合在一起的系统。2.1 主要功能2.1.1 文件完整性检查无论攻击手段有多么高明，最终的目的是以某种方式改变系统，从修改文件的病毒到改变内核的后门程序，系统的完整性总会有一些变化。比如：Windows注册表中密钥文件的MD5/SHA1校验和的更改来检测系统完整性的变化Linux 一切皆文件，md5变化完整性检查是入侵检测的重要组成部分，它可以检测系统完整性的变化。它的工作方式是代理每隔几个小时扫描一次系统（用户定义），并将所有校验和发送到服务器。服务器存储校验和并在其上查找修改。如果发生任何更改，将发送警报。文件属性包括：md5sum,size,owner,group,permission,配置示例：<syscheck>
<directories realtime="yes" check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
<directories check_all="yes">/bin,/sbin</directories>
</syscheck>
<rule id="100345" level="0" >
<if_group>syscheck</if_group>
<description>Changes ignored.</description>
<match>/etc/a|/etc/b|/etc/dir</match>
<hostname>mswin1|ubuntu-dns</hostname>
</rule>
2.1.2 日志监控OSSEC收集，分析并关联操作系统中的日志（应用程序、配置更改等），以让您知道是否正在发生可疑事件（攻击，滥用，错误等）。日志的监控可分为两种一种是被动的采集，通过采集需要的日志，读取日志信息，标准化输出适应安全规则使用的内容，当匹配到内置或者自定义的规则，随后输出实时告警，从而发现异常；另一种是主动的查询，通过周期下发命令查询系统状态信息，然后进行新旧信息比对，从而发现异常。2.1.2.1 Process Monitoring配置示例：磁盘空间利用率（df -h）<localfile>
<log_format>command</log_format>
<command>df -h</command>
</localfile>
Load average (uptime)<localfile>
<log_format>command</log_format>
<command>uptime</command>
</localfile>
在uptime命令大于2时发出警报<rule id="100101" level="7" ignore="7200">
<if_sid>530</if_sid>
<match>ossec: output: 'uptime': </match>
<regex>load averages: 2.</regex>
<description>Load average reached 2..</description>
</rule>
Detecting USB Storage Usageconfigure your Windows agents to monitor the USBSTOR registry entry using the reg command<agent_config os="windows">
<localfile>
<log_format>full_command</log_format>
<command>reg QUERY HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR</command>
</localfile>
</agent_config>
create a local rule for that command:<rule id="140125" level="7">
<if_sid>530</if_sid>
<match>ossec: output: 'reg QUERY</match>
<check_diff />
<description>New USB device connected</description>
</rule>
2.1.2.2 File Monitoringlinux日志监视<localfile>
<location>/var/log/messages</location>
<log_format>syslog</log_format>
</localfile>
Windows EventLog<localfile>
<location>Security</location>
<log_format>eventlog</log_format>
</localfile>
2.1.3 Rootkit检测2.1.3.1 rootkit简介Rootkit是一种特殊的恶意软件，与病毒或者木马不同的是，Rootkit试图通过隐藏自己来防止被发现，以达到长期利用受害主机的目的。Rootkit的基本功能：隐藏文件隐藏进程隐藏网络端口隐藏内核模块等后门功能键盘记录器Rootkit分为两种：用户态Rootkit（User-mode Rootkit）。一般通过覆盖系统二进制和库文件来实现内核态Rootkit（Kernel-mode Rootkit）。通常通过可加载内核模块（Loadable KernelModule，LKM）将恶意代码直接加载进内核中2.1.3.2 ossec rootkit dbrootkit_files.txt# Bash door
tmp/mcliZokhb
! Bash door ::/rootkits/bashdoor.php
tmp/mclzaKmfa
! Bash door ::/rootkits/bashdoor.php
# adore Worm
dev/.shit/red.tgz
! Adore Worm ::/rootkits/adorew.php
usr/lib/libt
! Adore Worm ::/rootkits/adorew.php
usr/bin/adore
! Adore Worm ::/rootkits/adorew.php
*/klogd.o
! Adore Worm ::/rootkits/adorew.php
*/red.tar
! Adore Worm ::/rootkits/adorew.php
# T.R.K rootkit
usr/bin/soucemask
! TRK rootkit ::/rootkits/trk.php
usr/bin/sourcemask
! TRK rootkit ::/rootkits/trk.php
rootkit_trojans.txtidentd
!bash|^/bin/sh|file\.h|proc\.h|/dev/[^n]|^/bin/.*sh!
init
!bash|/dev/h
tcpd
!bash|proc\.h|p1r0c4|hack|/dev/[^n]!
rlogin
!p1r0c4|r00t|bash|/dev/[^nt]!
# Kill trojan
killall
!/dev/[^t%]|proc\.h|bash|tmp!
kill
!/dev/[ab,d-k,m-z]|/dev/[F-Z]|/dev/[A-D]|/dev/[0-9]|proc\.h|bash|tmp!
win_malware_rcl.txt# http://www.iss.net/threats/ginwui.html
[Ginwui Backdoor {PCI_DSS: 11.4}] [any] [http://www.iss.net/threats/ginwui.html]
f:%WINDIR%\System32\zsyhide.dll;
f:%WINDIR%\System32\zsydll.dll;
r:HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\zsydll;
r:HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows -> AppInit_DLLs -> r:zsyhide.dll;
# http://www.symantec.com/security_response/writeup.jsp?docid=2006-081312-3302-99&tabid=2
[Wargbot Backdoor {PCI_DSS: 11.4}] [any] []
f:%WINDIR%\System32\wgareg.exe;
r:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\wgareg;
# http://www.f-prot.com/virusinfo/descriptions/sober_j.html
[Sober Worm {PCI_DSS: 11.4}] [any] []
f:%WINDIR%\System32\nonzipsr.noz;
f:%WINDIR%\System32\clonzips.ssc;
f:%WINDIR%\System32\clsobern.isc;
2.1.4 实时告警ossec支持实时邮件告警、syslog告警、写数据库、输出json等方式2.1.5 积极响应OSSEC是一款准EDR产品，其中体现的‘R’技术，就是指的的这个主动响应。我们可以根据特定的服务器或服务器组(agent)、特定的规则ID等多个条件关联触发响应动作，响应的动作可以通过脚本程序去实现个性化的需求。邮件提醒指令下发边界安全设备或者安全组件2.2 部署方式OSSEC支持以下操作系统和日志格式。2.2.1 操作系统代理OSSEC代理支持以下操作系统：GNU / Linux（所有发行版，包括RHEL，Ubuntu，Slackware，Debian等）Windows XP，2003，Vista，2008、2012VMWare ESX 3.0、3.5（包括CIS检查）FreeBSD（所有当前版本）OpenBSD（所有当前版本）NetBSD（所有当前版本）Solaris 2.7、2.8、2.9、10和11.4AIX 5.2和5.3Mac OS X 10.xHP-UX 112.2.2 通过Syslog支持的设备这些系统/设备也通过远程系统日志支持：Cisco PIX，ASA和FWSM（所有版本）Cisco IOS路由器（所有版本）Juniper Netscreen（所有版本）SonicWall防火墙（所有版本）Checkpoint防火墙（所有版本）Cisco IOS IDS / IPS模块（所有版本）Sourcefire（Snort）IDS / IPS（所有版本）Dragon NIDS（所有版本）Checkpoint Smart Defense（所有版本）McAfee VirusScan Enterprise（v8和v8.5）Bluecoat代理（所有版本）Cisco VPN集中器（所有版本）VMWare ESXi 4.x版2.2.3 无代理扫描使用OSSEC无代理选项，还支持以下系统（用于日志分析和文件完整性检查）：Cisco PIX，ASA和FWSM（所有版本）Cisco IOS路由器（所有版本）Juniper Netscreen（所有版本）SonicWall防火墙（所有版本）Checkpoint防火墙（所有版本）传统反病毒软件 vs EDR3. 示例配置3.1 ossec-agent<!-- OSSEC example config -->
<ossec_config>
<client>
<server-ip>192.168.10.100</server-ip>
</client>
<syscheck>
<!-- Frequency that syscheck is executed (default every 2 hours) -->
<frequency>7200</frequency>
<!-- Directories to check
(perform all possible verifications) -->
<directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
<directories check_all="yes">/bin,/sbin,/boot</directories>
<!-- Files/directories to ignore -->
<ignore>/etc/mtab</ignore>
<ignore>/etc/hosts.deny</ignore>
<ignore>/etc/mail/statistics</ignore>
<ignore>/etc/random-seed</ignore>
<ignore>/etc/random.seed</ignore>
<ignore>/etc/adjtime</ignore>
<ignore>/etc/httpd/logs</ignore>
<!-- Check the file, but never compute the diff -->
<nodiff>/etc/ssl/private.key</nodiff>
</syscheck>
<rootcheck>
<rootkit_files>/var/ossec/etc/shared/rootkit_files.txt</rootkit_files>
<rootkit_trojans>/var/ossec/etc/shared/rootkit_trojans.txt</rootkit_trojans>
</rootcheck>
<localfile>
<log_format>syslog</log_format>
<location>/var/log/messages</location>
</localfile>
<localfile>
<log_format>apache</log_format>
<location>/var/www/logs/access_log</location>
</localfile>
<localfile>
<log_format>apache</log_format>
<location>/var/www/logs/error_log</location>
</localfile>
</ossec_config>
3.2 ossec-server<!-- OSSEC example config -->
<ossec_config>
<global>
<email_notification>yes</email_notification>
<email_to>daniel.cid@example.com</email_to>
<smtp_server>smtp.example.com.</smtp_server>
<email_from>ossecm@ossec.example.com.</email_from>
</global>
<rules>
<include>rules_config.xml</include>
<include>pam_rules.xml</include>
<include>sshd_rules.xml</include>
<include>telnetd_rules.xml</include>
<include>syslog_rules.xml</include>
<include>arpwatch_rules.xml</include>
<include>vpopmail_rules.xml</include>
<include>vmpop3d_rules.xml</include>
<include>courier_rules.xml</include>
<include>web_rules.xml</include>
<include>web_appsec_rules.xml</include>
<include>local_rules.xml</include>
</rules>
<syscheck>
<!-- Frequency that syscheck is executed -- default every 20 hours -->
<frequency>72000</frequency>
<!-- Directories to check
(perform all possible verifications) -->
<directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
<directories check_all="yes">/bin,/sbin,/boot</directories>
<!-- Files/directories to ignore -->
<ignore>/etc/mtab</ignore>
<!-- Check the file, but never compute the diff -->
<nodiff>/etc/ssl/private.key</nodiff>
</syscheck>
<rootcheck>
<rootkit_files>/var/ossec/etc/shared/rootkit_files.txt</rootkit_files>
<rootkit_trojans>/var/ossec/etc/shared/rootkit_trojans.txt</rootkit_trojans>
</rootcheck>
<global>
<white_list>127.0.0.1</white_list>
<white_list>::1</white_list>
<white_list>192.168.2.1</white_list>
<white_list>192.168.2.190</white_list>
<white_list>192.168.2.32</white_list>
<white_list>192.168.2.10</white_list>
</global>
<remote>
<connection>secure</connection>
</remote>
<alerts>
<log_alert_level>1</log_alert_level>
<email_alert_level>7</email_alert_level>
</alerts>
<command>
<name>host-deny</name>
<executable>host-deny.sh</executable>
<expect>srcip</expect>
<timeout_allowed>yes</timeout_allowed>
</command>
<command>
<name>firewall-drop</name>
<executable>firewall-drop.sh</executable>
<expect>srcip</expect>
<timeout_allowed>yes</timeout_allowed>
</command>
<command>
<name>disable-account</name>
<executable>disable-account.sh</executable>
<expect>user</expect>
<timeout_allowed>yes</timeout_allowed>
</command>
<!-- Active Response Config -->
<active-response>
<!-- This response is going to execute the host-deny
- command for every event that fires a rule with
- level (severity) >= 6.
- The IP is going to be blocked for
600 seconds.
-->
<command>host-deny</command>
<location>local</location>
<level>7</level>
<timeout>600</timeout>
</active-response>
<active-response>
<!-- Firewall Drop response. Block the IP for
- 600 seconds on the firewall (iptables,
- ipfilter, etc).
-->
<command>firewall-drop</command>
<location>local</location>
<level>7</level>
<timeout>600</timeout>
</active-response>
<!-- Files to monitor (localfiles) -->
<localfile>
<log_format>syslog</log_format>
<location>/var/log/messages</location>
</localfile>
<localfile>
<log_format>apache</log_format>
<location>/var/www/logs/error_log</location>
</localfile>
<localfile>
<log_format>syslog</log_format>
<location>/var/log/exim_mainlog</location>
</localfile>
</ossec_config>
4. 参考矛与盾安全小组https://www.ossec.net/docs/EDR 完全指南：关于 EDR 的那些事儿}
<directories realtime="yes" check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
<directories check_all="yes">/bin,/sbin</directories>
</syscheck>
<rule id="100345" level="0" >
<if_group>syscheck</if_group>
<description>Changes ignored.</description>
<match>/etc/a|/etc/b|/etc/dir</match>
<hostname>mswin1|ubuntu-dns</hostname>
</rule>
2.1.2 日志监控OSSEC收集，分析并关联操作系统中的日志（应用程序、配置更改等），以让您知道是否正在发生可疑事件（攻击，滥用，错误等）。日志的监控可分为两种一种是被动的采集，通过采集需要的日志，读取日志信息，标准化输出适应安全规则使用的内容，当匹配到内置或者自定义的规则，随后输出实时告警，从而发现异常；另一种是主动的查询，通过周期下发命令查询系统状态信息，然后进行新旧信息比对，从而发现异常。2.1.2.1 Process Monitoring配置示例：磁盘空间利用率（df -h）<localfile>
<log_format>command</log_format>
<command>df -h</command>
</localfile>
Load average (uptime)<localfile>
<log_format>command</log_format>
<command>uptime</command>
</localfile>
在uptime命令大于2时发出警报<rule id="100101" level="7" ignore="7200">
<if_sid>530</if_sid>
<match>ossec: output: 'uptime': </match>
<regex>load averages: 2.</regex>
<description>Load average reached 2..</description>
</rule>
Detecting USB Storage Usageconfigure your Windows agents to monitor the USBSTOR registry entry using the reg command<agent_config os="windows">
<localfile>
<log_format>full_command</log_format>
<command>reg QUERY HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR</command>
</localfile>
</agent_config>
create a local rule for that command:<rule id="140125" level="7">
<if_sid>530</if_sid>
<match>ossec: output: 'reg QUERY</match>
<check_diff />
<description>New USB device connected</description>
</rule>
2.1.2.2 File Monitoringlinux日志监视<localfile>
<location>/var/log/messages</location>
<log_format>syslog</log_format>
</localfile>
Windows EventLog<localfile>
<location>Security</location>
<log_format>eventlog</log_format>
</localfile>
2.1.3 Rootkit检测2.1.3.1 rootkit简介Rootkit是一种特殊的恶意软件，与病毒或者木马不同的是，Rootkit试图通过隐藏自己来防止被发现，以达到长期利用受害主机的目的。Rootkit的基本功能：隐藏文件隐藏进程隐藏网络端口隐藏内核模块等后门功能键盘记录器Rootkit分为两种：用户态Rootkit（User-mode Rootkit）。一般通过覆盖系统二进制和库文件来实现内核态Rootkit（Kernel-mode Rootkit）。通常通过可加载内核模块（Loadable KernelModule，LKM）将恶意代码直接加载进内核中2.1.3.2 ossec rootkit dbrootkit_files.txt# Bash door
tmp/mcliZokhb
! Bash door ::/rootkits/bashdoor.php
tmp/mclzaKmfa
! Bash door ::/rootkits/bashdoor.php
# adore Worm
dev/.shit/red.tgz
! Adore Worm ::/rootkits/adorew.php
usr/lib/libt
! Adore Worm ::/rootkits/adorew.php
usr/bin/adore
! Adore Worm ::/rootkits/adorew.php
*/klogd.o
! Adore Worm ::/rootkits/adorew.php
*/red.tar
! Adore Worm ::/rootkits/adorew.php
# T.R.K rootkit
usr/bin/soucemask
! TRK rootkit ::/rootkits/trk.php
usr/bin/sourcemask
! TRK rootkit ::/rootkits/trk.php
rootkit_trojans.txtidentd
!bash|^/bin/sh|file\.h|proc\.h|/dev/[^n]|^/bin/.*sh!
init
!bash|/dev/h
tcpd
!bash|proc\.h|p1r0c4|hack|/dev/[^n]!
rlogin
!p1r0c4|r00t|bash|/dev/[^nt]!
# Kill trojan
killall
!/dev/[^t%]|proc\.h|bash|tmp!
kill
!/dev/[ab,d-k,m-z]|/dev/[F-Z]|/dev/[A-D]|/dev/[0-9]|proc\.h|bash|tmp!
win_malware_rcl.txt# http://www.iss.net/threats/ginwui.html
[Ginwui Backdoor {PCI_DSS: 11.4}] [any] [http://www.iss.net/threats/ginwui.html]
f:%WINDIR%\System32\zsyhide.dll;
f:%WINDIR%\System32\zsydll.dll;
r:HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\zsydll;
r:HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows -> AppInit_DLLs -> r:zsyhide.dll;
# http://www.symantec.com/security_response/writeup.jsp?docid=2006-081312-3302-99&tabid=2
[Wargbot Backdoor {PCI_DSS: 11.4}] [any] []
f:%WINDIR%\System32\wgareg.exe;
r:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\wgareg;
# http://www.f-prot.com/virusinfo/descriptions/sober_j.html
[Sober Worm {PCI_DSS: 11.4}] [any] []
f:%WINDIR%\System32\nonzipsr.noz;
f:%WINDIR%\System32\clonzips.ssc;
f:%WINDIR%\System32\clsobern.isc;
2.1.4 实时告警ossec支持实时邮件告警、syslog告警、写数据库、输出json等方式2.1.5 积极响应OSSEC是一款准EDR产品，其中体现的‘R’技术，就是指的的这个主动响应。我们可以根据特定的服务器或服务器组(agent)、特定的规则ID等多个条件关联触发响应动作，响应的动作可以通过脚本程序去实现个性化的需求。邮件提醒指令下发边界安全设备或者安全组件2.2 部署方式OSSEC支持以下操作系统和日志格式。2.2.1 操作系统代理OSSEC代理支持以下操作系统：GNU / Linux（所有发行版，包括RHEL，Ubuntu，Slackware，Debian等）Windows XP，2003，Vista，2008、2012VMWare ESX 3.0、3.5（包括CIS检查）FreeBSD（所有当前版本）OpenBSD（所有当前版本）NetBSD（所有当前版本）Solaris 2.7、2.8、2.9、10和11.4AIX 5.2和5.3Mac OS X 10.xHP-UX 112.2.2 通过Syslog支持的设备这些系统/设备也通过远程系统日志支持：Cisco PIX，ASA和FWSM（所有版本）Cisco IOS路由器（所有版本）Juniper Netscreen（所有版本）SonicWall防火墙（所有版本）Checkpoint防火墙（所有版本）Cisco IOS IDS / IPS模块（所有版本）Sourcefire（Snort）IDS / IPS（所有版本）Dragon NIDS（所有版本）Checkpoint Smart Defense（所有版本）McAfee VirusScan Enterprise（v8和v8.5）Bluecoat代理（所有版本）Cisco VPN集中器（所有版本）VMWare ESXi 4.x版2.2.3 无代理扫描使用OSSEC无代理选项，还支持以下系统（用于日志分析和文件完整性检查）：Cisco PIX，ASA和FWSM（所有版本）Cisco IOS路由器（所有版本）Juniper Netscreen（所有版本）SonicWall防火墙（所有版本）Checkpoint防火墙（所有版本）传统反病毒软件 vs EDR3. 示例配置3.1 ossec-agent<!-- OSSEC example config -->
<ossec_config>
<client>
<server-ip>192.168.10.100</server-ip>
</client>
<syscheck>
<!-- Frequency that syscheck is executed (default every 2 hours) -->
<frequency>7200</frequency>
<!-- Directories to check
(perform all possible verifications) -->
<directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
<directories check_all="yes">/bin,/sbin,/boot</directories>
<!-- Files/directories to ignore -->
<ignore>/etc/mtab</ignore>
<ignore>/etc/hosts.deny</ignore>
<ignore>/etc/mail/statistics</ignore>
<ignore>/etc/random-seed</ignore>
<ignore>/etc/random.seed</ignore>
<ignore>/etc/adjtime</ignore>
<ignore>/etc/httpd/logs</ignore>
<!-- Check the file, but never compute the diff -->
<nodiff>/etc/ssl/private.key</nodiff>
</syscheck>
<rootcheck>
<rootkit_files>/var/ossec/etc/shared/rootkit_files.txt</rootkit_files>
<rootkit_trojans>/var/ossec/etc/shared/rootkit_trojans.txt</rootkit_trojans>
</rootcheck>
<localfile>
<log_format>syslog</log_format>
<location>/var/log/messages</location>
</localfile>
<localfile>
<log_format>apache</log_format>
<location>/var/www/logs/access_log</location>
</localfile>
<localfile>
<log_format>apache</log_format>
<location>/var/www/logs/error_log</location>
</localfile>
</ossec_config>
3.2 ossec-server<!-- OSSEC example config -->
<ossec_config>
<global>
<email_notification>yes</email_notification>
<email_to>daniel.cid@example.com</email_to>
<smtp_server>smtp.example.com.</smtp_server>
<email_from>ossecm@ossec.example.com.</email_from>
</global>
<rules>
<include>rules_config.xml</include>
<include>pam_rules.xml</include>
<include>sshd_rules.xml</include>
<include>telnetd_rules.xml</include>
<include>syslog_rules.xml</include>
<include>arpwatch_rules.xml</include>
<include>vpopmail_rules.xml</include>
<include>vmpop3d_rules.xml</include>
<include>courier_rules.xml</include>
<include>web_rules.xml</include>
<include>web_appsec_rules.xml</include>
<include>local_rules.xml</include>
</rules>
<syscheck>
<!-- Frequency that syscheck is executed -- default every 20 hours -->
<frequency>72000</frequency>
<!-- Directories to check
(perform all possible verifications) -->
<directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
<directories check_all="yes">/bin,/sbin,/boot</directories>
<!-- Files/directories to ignore -->
<ignore>/etc/mtab</ignore>
<!-- Check the file, but never compute the diff -->
<nodiff>/etc/ssl/private.key</nodiff>
</syscheck>
<rootcheck>
<rootkit_files>/var/ossec/etc/shared/rootkit_files.txt</rootkit_files>
<rootkit_trojans>/var/ossec/etc/shared/rootkit_trojans.txt</rootkit_trojans>
</rootcheck>
<global>
<white_list>127.0.0.1</white_list>
<white_list>::1</white_list>
<white_list>192.168.2.1</white_list>
<white_list>192.168.2.190</white_list>
<white_list>192.168.2.32</white_list>
<white_list>192.168.2.10</white_list>
</global>
<remote>
<connection>secure</connection>
</remote>
<alerts>
<log_alert_level>1</log_alert_level>
<email_alert_level>7</email_alert_level>
</alerts>
<command>
<name>host-deny</name>
<executable>host-deny.sh</executable>
<expect>srcip</expect>
<timeout_allowed>yes</timeout_allowed>
</command>
<command>
<name>firewall-drop</name>
<executable>firewall-drop.sh</executable>
<expect>srcip</expect>
<timeout_allowed>yes</timeout_allowed>
</command>
<command>
<name>disable-account</name>
<executable>disable-account.sh</executable>
<expect>user</expect>
<timeout_allowed>yes</timeout_allowed>
</command>
<!-- Active Response Config -->
<active-response>
<!-- This response is going to execute the host-deny
- command for every event that fires a rule with
- level (severity) >= 6.
- The IP is going to be blocked for
600 seconds.
-->
<command>host-deny</command>
<location>local</location>
<level>7</level>
<timeout>600</timeout>
</active-response>
<active-response>
<!-- Firewall Drop response. Block the IP for
- 600 seconds on the firewall (iptables,
- ipfilter, etc).
-->
<command>firewall-drop</command>
<location>local</location>
<level>7</level>
<timeout>600</timeout>
</active-response>
<!-- Files to monitor (localfiles) -->
<localfile>
<log_format>syslog</log_format>
<location>/var/log/messages</location>
</localfile>
<localfile>
<log_format>apache</log_format>
<location>/var/www/logs/error_log</location>
</localfile>
<localfile>
<log_format>syslog</log_format>
<location>/var/log/exim_mainlog</location>
</localfile>
</ossec_config>
4. 参考矛与盾安全小组https://www.ossec.net/docs/EDR 完全指南：关于 EDR 的那些事儿}
我要回帖
更多关于 wga是什么意思 的文章
更多推荐
- ·闲鱼怎么改数量和价格上怎样改价钱啊？
- ·有人收闲置宝贝吗图片怎么改价格呢？
- ·中国经济什么叫货币化化意义？
- ·货主企业如何实现煤炭运销管理系统水运物流精细化管理?
- ·一朵未经雕琢的赞美路边野花的诗句，在湘西的田野间自由生长，她的笑容如同清晨的露水，清新而纯净出自哪个网站？
- ·微信支付分在哪看？
- ·找一本修正主角穿越过去改变历史的小说？
- ·脸上有痘痘是痤疮和痘痘一样吗吗？
- ·仿照什么常常什么写句子写话。
- ·想在拍拍贷初次能贷多少贷点，拍拍贷初次能贷多少可以贷多少？
- ·WGA如何政AV输击？
- ·小龙用百度在互联网上搜索周杰伦的第一张专辑是什么《菊花台》的歌词，以下最有效的关键字是（）
- ·企业都用什么邮箱邮箱哪家强？哪家邮箱性价比更高？
- ·WGA输出如何改AV输出？
- ·户内各个功能室内空间的属性尺度由哪三个部分组成？
- ·迅展供应链有限公司 物流展有熟悉的吗？想了解下参展资料
- ·腾讯会议怎么加开会人好友设置主持人
- ·腾讯公司会议主持开场白怎么看谁是主持人？
- ·汉武帝设立什么机构削弱相权时，政府明文规定：地处京畿的河东、河内、河南三郡文武长官不得由王室成员担任。其意图是（）。
