开源安全运维平台OSSIM疑难解析：入门篇电子书

版权

内容提要

作者简介

前言

资源与支持

第1章 SIEM与网络安全态势感知

Q001 什么是SIEM？

Q002 SIEM处理流程是什么？

Q003 SIEM基本特征分为几个部分，技术门槛是什么，有哪些商业产品？

Q004 SIEM中的安全运维模块包含哪些主要内容？

Q005 为什么要选择OSSIM作为运维监控平台？

Q006 在OSSIM架构中为何要引入威胁情报系统？

Q007 在OSSIM中OTX代表什么含义？

Q008 为什么要对IP进行信誉评级？

Q009 如何激活OTX功能？

Q010 如何手动更新IP信誉数据并查看这些数据？

Q011 如何读懂IP信誉数据库的记录格式？

Q012 为什么在浏览器中无法显示由谷歌地图绘制的AlienVault

Q013 OSSIM使用的Google Maps API在什么位置？

Q014 在OSSIM系统中成功添加OTX key之后，为何仪表盘上没有显示？

Q015 将已申请的OTX key导入OSSIM系统时，为何提示连接失败？

Q016 外部威胁情报和内部威胁情报分别来自何处？

Q017 如何利用OSSIM系统内置的威胁情报识别网络APT攻击事件？

Q018 OpenSOC的组成结构和主要功能是什么，它和OSSIM之间的区别是什么？

Q019 Apache Metron是新生代的OpenSOC吗？部署难度大吗？

第2章 OSSIM部署基础

Q020 OSSIM主要版本的演化过程是怎样的？

Q021 如何关闭和重启OSSIM？

Q022 OSSIM属于大数据平台吗？

Q023 OSSIM能作为堡垒机使用吗？

Q024 堡垒机的Syslog日志能否转发至OSSIM统一存储？

Q025 OSSIM平台属于CPU密集型、I/O密集型还是内存密集型系统？

Q026 OSSIM平台开发了哪些专属程序？

Q027 Kali Linux和OSSIM有什么区别？

Q028 安装OSSIM服务器组件时是否包含了传感器组件？

Q029 OSSIM能否安装在XEN或KVM虚拟化系统上？

Q030 OSSIM如何处理海量数据？

Q031 OSSIM是基于Debian Linux开发的，能否将其安装在其他Linux发行版上，例如RHAS、CentOS、 SUSE Linux？

Q032 分布式OSSIM系统传感器如何部署？

Q033 OSSIM可输出的报表有哪些类型？

Q034 在OSSIM 3中通过什么技术可实现报表预览功能？

Q035 OSSIM企业版中可输出哪些类型的报表？

Q036 OSSIM能否用于APT和ShellCode高级攻击检测？

Q037 如何部署分布式OSSIM平台？

Q038 OSSIM系统中哪些服务是单线程，哪些服务是多线程？

Q039 如何查看ossim-agent进程正在调用的文件？

Q040 在分布式环境中如何添加传感器？

Q041 为何新添加的传感器在Web UI上无法显示NetFlow流？

Q042 如何查看某个进程打开了哪些文件？

Q043 如何监听系统中某个用户的网络活动？

Q044 OSSIM经过防火墙时，需要打开哪些端口？

第3章 安装OSSIM服务器

Q045 如何通过U盘安装OSSIM系统？

Q046 如何克隆 OSSIM 虚拟机以及为虚拟机设置克隆？

Q047 在安装OSSIM时，命令行下面的提示信息保存在什么位置？

Q048 执行alienvault-update命令升级后，为什么原来的配置会被覆盖？

Q049 执行alienvault-update命令升级之后，缓存文件如何清除？

Q050 如何选择OSSIM服务器？

Q051 安装OSSIM时能识别硬盘，但无法识别网卡，该如何处理？

Q052 选择OSSIM服务器硬件时，需要注意些什么问题？

Q053 安装OSSIM时需要插网线吗？

Q054 初装OSSIM时仅配置了单块网卡，后期需要再新增一块网卡，该如何操作呢？

Q055 安装OSSIM时需要选择多核CPU还是单核CPU？CPU内核的数量越多越好吗？

Q056 如何为OSSIM服务器/传感器选择网卡？

Q057 OSSIM为何只能识别出2TB以内的硬盘？

Q058 如何在OSSIM下安装GCC编译工具？

Q059 如何手动加载网卡驱动？

Q060 在虚拟机下安装OSSIM结束后重启系统，结果系统一直停在启动界面，这该如何处理？

Q061 OSSIM安装完成后，如何设置Web UI来初始化设置向导？

Q062 如何通过CSV格式的文件导入多个网段信息？

Q063 如何通过文件导入网络资产？

Q064 在OSSIM配置向导中，报告无法找到网段内的服务器，该如何处理？

Q065 如何再次调出Web UI初始化配置向导？

Q066 如果跳过了Web配置向导，如何通过Web界面安装OSSEC Agent？

Q067 在Hyper-V 3.0中安装OSSIM 5.4时，在Suricata配置过程中“卡住了”该如何处理？

Q068 如何查看OSSIM的GRUB程序版本？

Q069 OSSIM系统中的IPMI服务有什么作用？为什么在虚拟机中启动OSSIM时会遇到IPMI服务启动失败的问题？

Q070 如采用要混合式安装方式来安装OSSIM，在安装界面中应选择哪一项？

Q071 如何进入OSSIM高级安装模式？

Q072 在虚拟机下安装OSSIM时无法找到磁盘，应如何处理？

Q073 在VMware虚拟机环境中，如何为OSSIM安装

Q074 初学者如何正确选择虚拟机版本？

Q075 如何嗅探虚拟机流量？

Q076 在VMware ESXi虚拟机环境中安装OSSIM时应注意哪些问题？

Q077 遗忘Web UI登录密码后如何将其恢复？

Q078 如何在Hyper-V虚拟机下安装OSSIM？

Q079 在Hyper-V虚拟机中如何嗅探网络流量？

Q080 采用笔记本电脑安装OSSIM时，如何防止其休眠？

Q081 如何将负载分摊在多个传感器上？

Q082 为什么不建议通过USB设备安装OSSIM系统？

Q083 为什么在安装OSSIM 5的过程中不提示用户分区？

Q084 虚拟机环境下常见的OSSIM安装错误有哪些？

第4章 OSSIM系统维护与管理

Q085 如何离线升级OSSIM？

Q086 如何通过代理服务器升级系统？

Q087 OSSIM升级过程中出现的Ign、Hit、Get分别代表什么含义？

Q088 在OSSIM中，update和upgrade参数有何区别？

Q089 如何确保分布式OSSIM系统的安全？

Q090 若在OSSIM服务器上启用SELinux服务，后果会如何？

Q091 OSSIM仪表盘典型视图分为几类，各有何特点？

Q092 通过OSSIM 4.3能直接升级到OSSIM 5.4吗？

Q093 如何定制OSSIM系统的启动画面？

Q094 OSSIM系统中的server.log日志文件有什么作用？如果此文件增涨到10GB以上，该如何处理？

Q095 apt-get的常见用途有哪些？

Q096 OSSIM中的IDM表示什么含义？如何启动IDM服务？

Q097 开源OSSIM系统所使用的文件系统是什么，有什么局限性？

Q098 当OSSIM的数据库受损时，如何恢复OSSIM？

Q099 为什么在OSSIM 3.1系统上输入ossim-update命令进行升级后OCS模块会消失？

Q100 OSSIM消息中心为什么总显示互联网连接中断？

Q101 OSSIM系统的软件包中包含amd64字样，这表示什么含义？

Q102 如何将Tickets加入知识库？

Q103 如何管理OSSIM系统服务？

Q104 OSSIM系统当使用alienvault-update升级后.deb文件位于何处？升级过程中报错怎么办？

Q105 如何校验已安装的Debian软件包？

Q106 OSSIM下有什么好用的包管理器吗？

Q107 在OSSIM系统中如何分配tmpfs文件系统的大小？

Q108 OSSIM系统如何同步时间？

Q109 如何通过删除日志的方式来释放OSSIM平台上的磁盘空间？

Q110 如何检测OSSIM系统整体的健康状态？

Q111 如何记录Web UI中SQL查询日志信息的情况？这些内容在何处？

Q112 如何禁止系统向root用户发送电子邮件？

Q113 可使用什么命令来查询UUID号？

Q114 智能移动终端如何访问OSSIM？

Q115 如何修改OSSIM登录的超时时间？

Q116 如何调整OSSIM系统管理员的密码登录策略？

Q117 如何允许/禁止root通过SSH登录OSSIM系统？

Q118 如何安装Gnome和Fvwm桌面环境？

Q119 如何进入OSSIM系统的单用户模式？

Q120 忘记root密码怎么办？

Q121 在分布式OSSIM系统环境中如何启动和关闭系统？

Q122 如何设置邮件报警?

Q123 如何校验OSSIM中安装的软件包？

Q124 在使用apt-get install安装软件的过程中强行中断安装，结果下次再执行安装脚本时报告数据库错误，这该如何解决？

Q125 使用apt-get install安装程序时遇到了“Could not get lock/var/lib/dpkg/lock”提示，这是由于什么原因造成的？

Q126 OSSIM系统中/var/run/目录下的pid文件有什么作用？

Q127 如何更改OSSIM默认的网络接口？

Q128 在OSSIM系统中如何寻找和终止僵尸进程（zombie）？

Q129 OSSIM在哪些地方会消耗大量内存？

Q130 如何查看admin用户活动的详细信息？

Q131 如何查看当前登录到OSSIM系统中的用户的Session ID？

Q132 如何将本地光盘设置为软件源？

Q133 当使用crontab –e编辑时，无法退出编辑环境，这如何处理？

Q134 如何开启OSSIM的Cron日志？

Q135 UUID在OSSIM系统中有什么用途？

Q136 OSSIM中如何安装X-window环境?

Q137 OSSIM如何防止关键进程停止？

Q138 OSSIM会将信息发送到外网吗？

Q139 OSSIM平台如何修复包的依赖关系？

Q140 异常关机会对OSSIM平台产生哪些影响？

Q141 删除OSSIM系统里的文件时，磁盘空间不释放应如何处理？

Q142 如何手动修改服务器IP地址？

Q143 如何消除终端控制台上的登录菜单？

Q144 在低版本的OSSIM中，如何让控制台支持高分辨率？

Q145 如何查看防火墙规则？

Q146 如何解决时间不同步的问题？

Q147 OSSIM在最后的安装阶段为什么会停滞不前？

Q148 如何配置OSSIM服务器与传感器之间的VPN连接？

Q149 如何重装传感器？

Q150 如何安装并配置多个传感器？

Q151 如何为OSSIM安装Webmin管理工具？

Q152 如何为OSSIM安装phpMyAdmin工具？

Q153 传感器中用于抓包的网卡需要分配IP吗？

Q154 如何将HTTP重定向为HTTPS访问？

Q155 在OSSIM的Web UI登录界面中，在登录验证前用户名和密码是如何加密的？

Q156 在OSSIM登录界面中如何实现用户Session登录验证的安全性？

Q157 如何定制Apache 404页面？

Q158 OSSIM系统每次启动时为什么显示“apache2 [warn] NameVirtualHost *:80 has no VirtualHosts”？

Q159 Apache中出现“Could not reliably determine the server’s fully qualified domain name”提示时，应如何处理？

Q160 迁移OSSIM系统时需要备份哪些数据？

Q161 在OSSIM中，PCI DSS和ISO 27001代表什么含义？

Q162 如何输出30天内的资产可用性报告？

Q163 如何使用grep命令去掉配置文件的注释行和空格行？

Q164 如何生成一个指定大小的文件？

Q165 如何在服务器/传感器中发现隐藏的进程或端口？

Q166 如何解决因系统索引节点（inode）耗尽而引发的系统故障？

Q167 OSSIM系统是如何实现高可用性的？

Q168 OSSIM服务器如何横向扩展？

第5章 OSSIM组成结构

Q169 OSSIM开源框架的分层处理架构是什么？

Q170 OSSIM系统框架中各模块的工作流程是怎样的？

Q171 OSSIM采用模块化架构的优势是什么？

Q172 根据OSSIM部署图来分析OSSIM多层体系结构是怎样的？

Q173 如果分布式OSSIM系统的传感器出现问题，会影响哪些模块的工作？

Q174 OSSIM的工作流程包括哪些内容？

Q175 配置文件/etc/ossim/ossim_setup.conf中记录了哪些内容？

Q176 传感器上的采集插件与监控插件有什么区别？

Q177 OSSIM免费版和商业版有哪些主要区别？

Q178 OSSIM中的SPADE有什么作用？

Q179 OSSIM代理的作用是什么？

Q180 代理与插件有什么区别？

Q181 Framework有什么作用，如何查看其工作状态？

Q182 修改OSSIM服务器配置文件config.xml后如何重新启动引擎？

Q183 Agent程序采集的日志中的各个字段表示什么含义？

Q184 在混合式OSSIM服务器模式与传感器安装模式中，它们安装的包有哪些区别？

Q185 OSSIM 服务器和传感器的通信端口有哪些，其作用是什么？

Q186 如何增删系统的数据源插件？

Q187 如何列出OSSIM分布式系统的活动代理信息？

Q188 如何将SIEM中显示的攻击日志添加到数据源组中？

Q189 如何使用Tickets？

Q190 Alarms与Tickets有什么区别？

Q191 在OSSIM报警中对网络攻击模式如何分类？

Q192 Ansible使用什么协议通信？

Q193 SSH和Ansible服务在OSSIM中起到什么作用？

Q194 如何建立基于OpenSSL的安全认证中心？

Q195 如何在OSSIM中设置VPN连接？

Q196 OSSIM中定义的未授权行为包括哪些？

第6章 传感器

Q197 OSSIM 传感器的作用是什么，如何查看传感器的状态？

Q198 当传感器发生故障时能否查询传感器上加载插件的状态？

Q199 传感器能以串联方式部署在网络中吗？

Q200 如何通过传感器扫描资产？

Q201 如何查看分布式系统的传感器状态？

Q202 如何让Ansible获取远程主机运行时间、在线用户及平均负载信息？

Q203 如何通过Ansible将脚本分发到远程主机并执行？

Q204 为何会出现传感器删除失败的情况？

Q205 OSSIM消息中心将数据源分为几类，它们的含义是什么？

第7章 插件处理

Q206 OSSIM中的数据源插件如何将日志转换为安全事件，以实现统一存储？

Q207 OSSIM代理如何将采集的日志发送到OSSIM服务器？

Q208 OSSIM采用什么技术来解决网络设备的日志格式不统一的问题？

Q209 OSSIM中安全事件的标准格式是什么？

Q210 OSSIM Agent的插件采集日志流程是什么？

Q211 在Apache插件中如何定义Apache访问日志的正则表达式？如何通过脚本检测插件？

Q212 经过OSSIM数据源插件归一化之后的日志存储在什么位置？

Q213 编写日志插件分几个步骤？

Q214 在OSSIM系统中如何导入检测插件？

Q215 OSSIM采集插件分为几大类，它们通过什么协议采集数据？

Q216 插件进程ossim-agent被手动停止后之后为何会自己重启？

Q217 在OSSIM传感器中能同时启用Snort和Suricata插件吗？

Q218 如何导入自定义插件？

第8章 SIEM控制台操作

Q219 如何把SIEM控制台中发现的重要日志加入到知识库？

Q220 如何为知识库的条目新增附件？

Q221 在SIEM控制台事件中查看视图时有几种观察模式，它们有什么区别？

Q222 如何在SIEM警报中显示计算机名？

Q223 在SIEM控制台事件的表单中，N/A表示什么意思？

Q224 如何设定SIEM事件的保存期限？

Q225 如何恢复SIEM事件数据库？

Q226 SIEM控制台上包含哪些重要元素？

Q227 如何在SIEM事件控制台中过滤事件？

Q228 如何将高风险的事件进行快速分类？

Q229 如何删除与恢复安全事件？

Q230 SIEM控制台中显示的事件存储在什么地方？

Q231 如何在Web页面清理SIEM数据库中的事件？

Q232 为什么不能跨VLAN显示服务器的FQDN名称？

Q233 SIEM日志显示中出现的0.0.0.0地址表示什么含义？

Q234 无法显示SIEM安全事件时应如何处理？

Q235 SIEM数据源与插件之间有何联系？

Q236 什么是AVAPI事件？如何过滤AVAPI事件？

Q237 在OSSIM Web UI中出现的EPS参数表示什么含义？

第9章 可视化报警

Q238 如何产生报警事件？

Q239 OSSIM中将报警事件分为几类，分别表示什么含义？

Q240 如何通过Alarm快速识别网络攻击？

Q241 报警分组有什么作用？

Q242 如何通过X-Scan工具来触发OSSIM报警？

Q243 如何采用Armitage对目标主机进行渗透测试？

Q244 如何通过Metasploit挖掘Windows XP的MS08-067漏洞？

Q245 如何通过OSSIM实现SSH登录失败报警？

Q246 如何区别IDS的误报与漏报？

Q247 如何设置SSH登录报警策略？

Q248 OSSIM如何感知SSH暴力破解攻击？

第10章 OSSIM数据库

Q249 OSSIM数据库有哪几种，各有什么作用？

Q250 采用SecureCRT访问数据库时出现乱码，这是什么原因引起的，如何避免？

Q251 MySQL数据库权限的存储机制是什么？

Q252 如何让OSSIM中的MySQL数据库支持远程访问？

Q253 如何通过phpMyAdmin数据库解决“Access denied for user 'root'@'localhost'（using password:YES）”报错问题？

Q254 采用phpMyAdmin访问数据库时为什么会出现乱码？

Q255 如何在OSSIM服务器上访问数据库？常见的数据库操作命令包含哪些？

Q256 如何分屏显示alienvault.alarm表中的内容？

Q257 如何查看OSSIM数据库的大小？

Q258 OSSIM中的SQLite数据库有什么作用，它存储在什么位置？

Q259 RRDTool与数据库MySQL之间有什么区别？

Q260 如何将SQL文件插入到OSSIM数据库中？

Q261 如何把一个.sql.gz文件导入到数据库中？

Q262 如何优化数据库中的表？

Q263 如何重置OSSIM数据库？

Q264 如何恢复OSSIM数据库的出厂设置？

Q265 影响OSSIM数据库的性能因素有哪些？

Q266 如何利用MySQLReport监控数据库性能？

Q267 如何设定OSSIM数据库的自动备份时间？在什么位置查看备份数据？

Q268 /etc/ossim/server/config.xml配置文件记录了哪些关键信息？

Q269 OSSIM系统中出现“MySQL:ERROR 1040:Too many connections”报错提示时如何处理？

Q270 如何用mytop监控MySQL数据库？

Q271 如何远程导出OSSIM数据库的表结构？

Q272 在使用ossim-db命令时出现“Access denied for user 'root'@'localhost'（using password:NO）”提示，该如何解决？

Q273 如何模拟负载？

Q274 当MySQL进程的CPU使用率过高时，如何优化？

Q275 如何启动OSSIM数据库的慢查询日志？

Q276 如何使用mysqldump完整备份OSSIM数据库？

Q277 如何用XtraBackup备份OSSIM数据库？

Q278 如何用mysqlslap测试OSSIM数据库？

Q279 当OSSIM系统数据库发生损坏时，如何重建数据库？

Q280 如何查看OSSIM系统的SIEM数据库备份策略？

Q281 OSSIM系统出现acid表错误时如何处理？

Q282 升级过程中数据库表意外损坏，该如何修复？

Q283 如何清理OSSIM数据库？

Q284 存储在数据库中的资产IP地址被加密了吗，如何查看该IP地址呢？

Q285 OSSIM系统中的Active Event Window（days）表示什么含义，该值设定为多大比较合适？

Q286 如何显示acid_event表中的前5条记录？

Q287 为OSSIM添加扩展数据库时出现连接数据库错误，该如何处理？

Q288 如何通过MONyog工具监控MySQL服务器？

Q289 日志中的IP地址在数据库中采用何种形式存储？

Q290 如何通过MySQL Workbench连接OSSIM数据库？

附录1 主要配置文件注释

附录2 OSSIM 5 Web界面菜单功能注释

附录3 终端控制台程序注释

附录4 关键词汇英汉对照