ossec-hids-1.6 HIDS ossec

带有PCRE2的OSSEC 3.3.0，解压之后可以直接运行install.sh安装

这是一个基于主机的入侵检测系统，它由 4 个组件组成，即端口扫描检测器、策略执行器、网络统计和漏洞检测器。 后端程序是用 C 编写的，前端是使用 Qt Designer 和 Glade 制作的。

来自于陈越大佬的分享

方便使用 四个模块： 网站：前端输入服务器检测规则，黑白名单，代理监控文件，审核规则到mongodb；响应代理定时获取在线服务器列表 服务器：提供代理rpc服务器调用，从mongodb中获取代理监控配置，保存服务器在线信息到mongodb，发送日志到进行可视化 代理：netlink家族的NETLINK_AUDIT协议监听SYSCALL时间，规则可以动态配置；读取/ proc文件系统需要管理员权限运行 守护程序：响应服务器指令下发（socket） 系统采用netlink_audit协议检测进程执行，连接系统调用，仅依赖内核kauditd，这个在内核2.6集成；对于安装第三方auditd用户程序服务需要停止，否则代理接收不到系统通过netlink传递的事件信息，通过libpcap抓取网络连接五元组信息，在/ proc补全进程argv，comm，path等信息，对与短暂进程，网络连接建立LRU

ossec官方源码，3.6.0最新版本，编译后用于安装linux下的server和agent，方便部署，可本地自行编译成多平台的可执行程序

OSSEC是基于主机的入侵防护开源解决方案，本手册通过虚拟的业务场景描述OSSEC的主要功能、特性以及日常管理运维的方法。

ossec 开源主机威胁检测工具，可以用于在windows系统上收集日志信息，检测攻击行为及文件系统变化等。

实验5.1 HIDS入侵检测系统的使用.rar

守卫 主机入侵检测系统（HIDS） 项目进度 2018年2月7日：完成文件监控方面（暂时只是单线程监控文件夹及其子文件中的文件） 2018/2/8：完成多进程监控主机文件夹及其子文件夹中的文件，采用一个进程监控一个文件夹的方式。 2018/2/8：初步增加配置文件功能，采用yaml格式作为配置文件2018/2/8：加入watchdog模块监控目标目录下的文件变化 2018/2/9：初步完成一个进程监控的演示，尚未写入配置文件，也没有为此分配进程 2018/2/10：完成进程监控，实现主机进程状态检测，可及时发现新创建或已关闭进程，添加提权进程识别功能（暂不完善） 2018年2月14日：加入webshel​​l静态检测数据库，通过使用python ssdeep库通过文件相似度对webshel​​l进行静态检测 2018/2/23：增加日志模块2018/2/23：修正一些错误 系统所需软件