Ossec配置实例

ddos_rules.xml < /include >

< /rules >

建立防CC攻击规则

# cat /var/ossec/rules/ddos_rules.xml

#定义rule id

31108< /if_sid > #判断rule id 31108

^/*.php< /url > #匹配URL地址中包含任何php文件

CC ATTACKS URL < /description > #描述

< /rule >

31177< /if_matched_sid >

CC ATTACKS< /description >

DDOS< /group >

< /rule >

说明：

60秒内同一IP访问php文件超过10次，触发脚本

匹配urle id 为31108的日志中URL包含任何php文件

关于rule id 31108 规则详细定义，请查看web_rules.xml文件。

31100< /if_sid >

< id >^2|^3< /id >

is_simple_http_request< /compiled_rule >

Ignored URLs (simple queries).< /description >

< /rule >

说明：rule id 31108是匹配web日志2x,3x访问代码。有效过滤了404，403等错误页面

配置自动响应

在ossec.conf配置文件中，添加如下内容：

< command >

firewall-drop< /name > #命令名称

firewall-drop.sh< /executable > #执行脚本

srcip< /expect > #脚本参数，客户端IP

yes < /timeout_allowed > #允许超时

< /command >

< command >firewall-drop< /command > #自动响应命令名称，上面定义

local < /location > #脚本执行位置，local表示agent端

31178< /rules_id > #触发rule id

600< /timeout > #超时时间

< /active-response >

自定义规则

在日志中过滤字符串，比如日志中出现admin_backdoor，触发报警

添加test_rules.xml文件到ossec.conf配置文件中