OSSIM插件开发实战(配视频)

本文涉及的产品
云数据库 RDS SQL Server,独享型 2核4GB
云数据库 RDS MySQL Serverless,0.5-2RCU 50GB
简介:

OSSIM插件开发实战


由于现有安全设备产生日志格式不统一,故无法直接进行关联分析,在Ossim系统中采取了基于插件过滤的方式对异构安防设备的日志进行采集,OSSIM插件开发,是开发人员的必备技能,下面就对它进行详细讲解。

一、插件配置步骤

经过以上描述,大家了解收集日志的流程,接下来就要建立脚本,步骤如下:

1)新建插件文件,通常复制一个现有的脚本文件,并修改其内容,以符合新的应用程序需求。

2)定义一个通用规则,这是最后的规则来评价,它捕获所有的事件,不能根据特定规则进行分组。

3)去除噪声,OSSIM可以排除某些无关事件子类型的事件被视为噪声,说的简单点就是在IDS/IPS等安全设备上产生的海量重复报警就是噪声

4)通过OSSIM代理注册插件,为了将事件发送到的OSSIM服务器,就要将插件激活,插件的路径必须在代理配置文件中指定。

5)通过OSSIM Server注册插件,以让服务器知道事件的优先级和可靠性价值的事件,就必须在Server端也注册插件。

6)在Server端激活插件,重启OSSIM Server进程

#/etc/init.d/ossim-server restart

7)在Agent代理端激活插件,重启OSSIM Agent进程

#/etc/init.d/ossim-agent restart

二、插件导入

假设有一段导出的SQL文件,其中包含有可执行SQL语句。例如将MySQL数据库备份到test.sql文件里,就可以用下面方法进行还原:

#mysql < test.sql

可以在MySQL的提示符下用SOURCE命令来加载 SQL文件。但如果压缩了SQL文件怎么做还原呢?是不是要先解压缩在加载呢?例如:

#gunzip –c test.sql.gz |mysql

OSSIM 在安装后期通过一些SQL语句集中导入插件,导入完毕放置在/usr/share/doc/ossim-mysql/contrib./plugins/目录下,扩展名为sql.gz,如果发现某些插件需重新导入数据库可以先用gunzip命令解压sql.gz文件,再使用“ossim-db<file.sql”方式导入。如果是新插件怎么办?就复制一个功能类似插件,然后修改SQL代码,在导入数据库。或许会思考,如果只还原单独的表(例如表asset)又会怎样?看看如下操作:

#grep ‘INSERT INTO `asset`’ test.sql |mysql test

或者文件是压缩的:

#gunzip –c test.sql.gz |grep ‘INSERT INTO`asset`’|mysql test

注意test 代表实例数据库名称。一旦MySQL加载完数据,gunzip就会自动退出。

根据《开源安全运维平台-OSSIM最佳实践》第七章插件注册讲解的内容,我们修改/etc/ossim/agent/config.cfg[plugins]中加入插件,如图所示。

myexample=/etc/ossim/agent/plugins/myexample.cfg

后打开ossim-setup配置程序选择:ConfigureSensorSelect DataSources,找到myexample插件选中后,保存退出。

wKiom1clSW-SLUAgAAEfmjbZDWw299.jpg

wKioL1clSnuw4JrsAACLyyjrD9Y274.jpg

当看到上面这些信息是说明插件已成功添加,下面要重启服务即可生效。

#/etc/init.d/ossim-server restart   \\重启ossim server

#/etc/init.d/ossim-agent restart    \\重启agent

最后可以到SIEM控制台下查看该插件采集到的日志,为了使大家有更直观的体验特在最新版OSSIM中制作了一刻钟的视频讲解

视频地址:http://edu.51cto.com/index.php?do=lesson&id=99668


 



 本文转自 李晨光 51CTO博客,原文链接:http://blog.51cto.com/chenguang/1769287,如需转载请自行联系原作者



相关实践学习
基于CentOS快速搭建LAMP环境
本教程介绍如何搭建LAMP环境,其中LAMP分别代表Linux、Apache、MySQL和PHP。
全面了解阿里云能为你做什么
阿里云在全球各地部署高效节能的绿色数据中心,利用清洁计算为万物互联的新世界提供源源不断的能源动力,目前开服的区域包括中国(华北、华东、华南、香港)、新加坡、美国(美东、美西)、欧洲、中东、澳大利亚、日本。目前阿里云的产品涵盖弹性计算、数据库、存储与CDN、分析与搜索、云通信、网络、管理与监控、应用服务、互联网中间件、移动服务、视频服务等。通过本课程,来了解阿里云能够为你的业务带来哪些帮助 &nbsp; &nbsp; 相关的阿里云产品:云服务器ECS 云服务器 ECS(Elastic Compute Service)是一种弹性可伸缩的计算服务,助您降低 IT 成本,提升运维效率,使您更专注于核心业务创新。产品详情: https://www.aliyun.com/product/ecs
相关文章
|
8月前
|
监控 数据可视化 Java
手把手教你搭建SpringCloud项目(十二 )集成Hystrix之图形化Dashboard实时监控
手把手教你搭建SpringCloud项目(十二 )集成Hystrix之图形化Dashboard实时监控
|
10月前
|
Java 数据安全/隐私保护 微服务
SpringBoot进阶:一键集成GrayLog,那叫一个丝滑
在微服务架构中,一个服务通常都会有多个实例,而这些服务实例可能会被部署到不同的机器或虚拟容器上。此时对于日志数据的查看和分析就会变得困难起来,因为这些服务的日志数据都散落在各自实例所在的机器或容器上。例如,我现在要在订单服务里查找一个订单id为1的日志,而订单服务有10个实例并且部署在10台不同的机器上,那么我就得一台台的去找这个日志数据。所以这时候我们就需要有一个可以实现日志聚合的工具,将所有实例的日志数据都聚合在一个地方,那么我们就不需要到每个实例去找日志了,而本文将使用的日志聚合工具为Graylog
|
12月前
|
Arthas Java 测试技术
56-微服务技术栈(高级):在线检测工具Arthas(下载安装)
开发者对于生产问题故障的排查、定位,随着微服务的喷发,也不再像是以前那边依赖纯日志、gc日志进行问题排查与定位了,本节开始介绍一个生产环境使用的排错工具Arthas,帮助大家更高效、便捷地实现生产问题排错。
169 0
|
存储 移动开发 小程序
uniapp环境搭建以及基础配置详解
安装编辑器 HbuilderX(HbuilderX 是通用的前端开发工具,但为 uni-app 做了特别强化)。 下载 APP 开发板,可开箱即用。 安装微信开发者工具。
633 0
uniapp环境搭建以及基础配置详解
|
存储 运维 Kubernetes
轻松上手Fluentd,结合 Rainbond 插件市场,日志收集更快捷
本文介绍在 Rainbond 中使用 Fluentd 插件,收集业务日志,输出到多个不同的服务。
|
资源调度 Go 前端开发
如何配置grafana开发环境
前言 grafana是一款功能强大的数据可视化软件,支持多种数据源。本文将介绍如何配置grafana开发环境,可对其进行汉化等处理。 如果不二次开发,可参照文档直接安装已编译的版本:https://grafana.
12488 0
|
存储 Java Linux
SkyWalking Liunx 环境搭建&NetCore接入
SkyWalking Liunx 环境搭建&NetCore接入背景前两天看见有小哥介绍windows下安装skywalking的介绍地址在这。正好最近也在搭建linux环境的SkyWalking,顺便把linux环境搭建的经验分享下,帮助下使用linux部署DotNetCore项目的同学。
3759 0
|
监控 NoSQL Redis
RedisManager使用手册(六)-- 监控功能介绍
RedisManager Monitor功能和query功能介绍,Monitor模块对Redis 集群的重要指标进行监控,如平均内存占用、客户端连接数、cache命中率,节点内存碎片等,Monitor 模块中支持查看 Config、Info、Slowlog 和查询数据功能。
2098 0
xal
|
IDE JavaScript 开发工具
VSCode插件开发全攻略(一)概览
# 文章索引 * [VSCode插件开发全攻略(一)概览](https://www.atatech.org/articles/121864) * [VSCode插件开发全攻略(二)HelloWord](https://www.atatech.org/articles/121866) * [VSCode插件开发全攻略(三)package.json详解](https://www.atatec
xal
4006 0
|
jenkins 持续交付 Windows
Jenkins +ThinBackup备份恢复插件(学习笔记三十四)
一、系统管理-管理插件-找到ThinBackup并安装 二、系统管理-找到ThinBackup-点击Setting进行设置 第一个参数备份目录是必选,其它可选,点保存。
2447 0