wazhu之agent功能详解

 

一、日志数据收集

日志数据收集是从服务器或设备生成的记录中收集的实时过程。此组件可以通过文本文件或Windows事件日志接收日志。它还可以通过远程syslog直接接收日志，这对防火墙和其他此类设备非常有用。

此过程的目的是识别应用程序或系统程序错误，配置错误，入侵威胁，触发策略或安全问题。

Wazuh aegnt 的内存和CPU要求是，因为它的非常低的，主要作用是将事件转发给管理器。但是，在Wazuh管理器上，CPU和内存消耗可能会迅速增加，具体取决于管理器每秒事件数分析数量（EPS）。

1.处理流程

下图说明了事件的处理流程：

2.日志收集

2.1 日志文件

可以将日志分析引擎配置为监控服务器上的特定文件

示例配置：

Linux：

<localfile>

    <location>/var/log/example.log</location>

    <log_format>syslog</log_format>

</localfile>

windows：

<localfile>

    <location>C:\myapp\example.log</location>

    <log_format>syslog</log_format>

</localfile>

2.2Windows事件日志

Wazuh可以监控典型的Windows事件日志以及较新的Windows事件通道

示例配置：

事件日志：

<localfile>

  <location>Security</location>

  <log_format>eventlog</log_format>

</localfile>

事件通道：

<localfile>

  <location>Microsoft-Windows-PrintService/Operational</location>

  <log_format>eventchannel</log_format>

</localfile>

2.3 远程系统日志

例如，在其他设备（如防火墙）上，可以将代理日志分析组件配置为通过syslog接收日志事件。

示例配置：

<ossec_config>

  <remote>

    <connection>syslog</connection>

    <allowed-ips>192.168.2.0/24</allowed-ips>

  </remote>

<ossec_config>

<connection>syslog</connection>表示管理器将接受来自网络的传入的系统日志信息，<allowed-ips>192.168.2.0/24</allowed-ips>表示定义将接受系统日志信息的网络范围。

记录示例：

2016-03-15T15:22:10.078830+01:00 tron su:pam_unix(su-l:auth):authentication failure;logname=tm uid=500 euid=0 tty=pts/0 ruser=tm rhost= user=root

1265939281.764 1 172.16.167.228 TCP_DENIED /403 734 POST http://lbcore1.metacafe.com/test/SystemInfoManager.php - NONE/- text/html

[Sun Mar 06 08:52:16 2016] [error] [client 187.172.181.57] Invalid URI in request GET: index.php HTTP/1.0

 

3.分析

3.1 预解码

在分析的预解码阶段，来自大多数静态信息的字段都是从日志中提取的。

Feb 14 12:19:04 localhost sshd[25474]: Accepted password for rromero from 192.168.1.133 port 49765 ssh2

提取的信息：

• 主机名：'localhost'
• 应用名：'sshd'

3.2 解码

在解码阶段，评估日志信息以识别它是什么类型的日志，然后提取该特定日志类型的已知字段。

示例日志及其提取的信息：

Feb 14 12:19:04 localhost sshd[25474]: Accepted password for rromero from 192.168.1.133 port 49765 ssh2

提取的信息：

• 应用名：sshd
• 关键字：rromero
• 源IP：192.168.1.133

3.3 规则匹配

在下一阶段，将提取的日志信息与规则集进行比较以查找匹配项：

对于前面的示例，规则5715匹配：

<rule id="5715" level="3">

  <if_sid>5700</if_sid>

  <match>^Accepted|authenticated.$</match>

  <description>sshd: authentication success.</description>

  <group>authentication_success,pci_dss_10.2.5,</group>

</rule>

 

注意：有关更多信息，请参阅Wazuh规则集

3.4 告警

匹配规则后，管理器将创建如下告警：

** Alert 1487103546.21448: - syslog,sshd,authentication_success,pci_dss_10.2.5,

2017 Feb 14 12:19:06 localhost->/var/log/secure

Rule: 5715 (level 3) -> 'sshd: authentication success.'

Src IP: 192.168.1.133

User: rromero

Feb 14 12:19:04 localhost sshd[25474]: Accepted password for rromero from 192.168.1.133 port 49765 ssh2

 

默认情况下，将在重要或安全相关的事件上生成告警。要存储所有事件，即使它们与规则不匹配，请启用该<log_all>选项。

告警将存储在/var/ossec/logs/alerts/alerts.(json|log)和事件存储在/var/ossec/logs/archives/archives.(json|log)。系统会自动为每个月和每年创建单个目录。

注意：默认情况下，不会自动删除存储日志。您可以根据自己的当地法律和法规要求选择何时手动或自动（例如cron计划任务自动删除）删除日志。

 

4.配置

4.1基本用法

日志数据收集主要对ossec.conf文件中的localfile，remote和global进行配置。还可以在agent.conf文件中完成日志数据收集的配置，以将这些设置的集中分发到相关代理上。

与此基本用法示例一样，需要提供要监控的文件名称和格式：

<localfile>

    <location>/var/log/messages</location>

    <log_format>syslog</log_format>

</localfile>

4.2 使用文件名的正则表达式监控日志

Wazuh支持posix正则表达式。例如，要分析以/var/log目录中的.log结尾的每个文件，请使用以下配置：

<localfile>

    <location>/var/log/*.log</location>

    <log_format>syslog</log_format>

</localfile>

4.3 基于日期的日志监控

对于根据日期更改的日志文件，您还可以指定strftime格式来自定义日，月，年等。例如，要监控日志文件，例如C:\Windows\app\log-08-12-15.log，其中08是年份，12是月份，15是当月天数（并且每天自动增加），配置如下：

<localfile>

    <location>C:\Windows\app\log-%y-%m-%d.log</location>

    <log_format>syslog</log_format>

</localfile>

4.4 从Windows事件日志中读取日志

要监控Windows事件日志，您需要提供格式为“eventlog”，并将location参数作为事件日志的名称

<localfile>

    <location>Security</location>

    <log_format>eventlog</log_format>

</localfile>

4.5 从Windows事件通道中读取事件

您还可以监控特定的Windows事件通道。该location是事件通道的名称。这是监控应用程序和服务日志的唯一方法。如果文件名包含“％”，请将其替换为“/”：

<localfile>

    <location>Microsoft-Windows-PrintService/Operational</location>

    <log_format>eventchannel</log_format>

</localfile>

通过event  channel新的事件数据处理，Wazuh v3.8.0增强了日志格式，保留了旧的功能和配置。它允许监控任何Windows代理生成的每个事件，以JSON格式显示每个通道的信息。作为旧的event channel，使用此log_format可以查询通道，按事件ID，进程，登录类型或生成的事件中包含的任何其他字段进行过滤，从而可以检索所需的事件。

这个新功能使用JSON解码器处理事件字段，确保比以前更容易添加新方法的规则。Wazuh规则集中包含的默认通道是应用程序，安全性，系统，Microsoft-Windows-Sysmon / Operational，Microsoft反恶意软件（Microsoft Security Essentials），Microsoft-Windows-Windows Defender / Operational和Microsoft-Windows-Eventlog。

Windows事件通道中的一些示例事件显示如下：

下图显示了每个频道的事件数，按时间进行过滤agent:

4.6 使用查询过滤Windows事件通道中的事件

Windows事件通道中的事件可以按如下方式过滤：

<localfile>

  <location>System</location>

  <log_format>eventchannel</log_format>

  <query>Event/System[EventID=7040]</query>

</localfile>

4.7 使用环境变量

像环境变量一样%WinDir%可以在location中使用。以下是从IIS服务器读取日志的示例：

<localfile>

    <location>%WinDir%\System32\LogFiles\W3SVC3\ex%y%m%d.log</location>

    <log_format>iis</log_format>

</localfile>

4.8 使用多个输出

默认情况下，日志数据通过agent socket 发送，但也可以将其他 agent socket 指定为输出。ossec-logcollector使用UNIX类型socket 进行通信，允许TCP或UDP协议。要添加新的output socket ，我们需要使用<socket>标记来指定，如下示例配置：

<socket>

    <name>custom_socket</name>

    <location>/var/run/custom.sock</location>

    <mode>tcp</mode>

    <prefix>custom_syslog: </prefix>

</socket>

<socket>

    <name>test_socket</name>

    <location>/var/run/test.sock</location>

</socket>

注意：有关定义socket的更多信息：: socket

定义socket后，可以为每个location添加目标socket：

<localfile>

    <log_format>syslog</log_format>

    <location>/var/log/messages</location>

    <target>agent,test_socket</target>

</localfile>

<localfile>

    <log_format>syslog</log_format>

    <location>/var/log/messages</location>

    <target>custom_socket,test_socket</target>

</localfile>

 

注意：要将输出保持为默认socket，我们需要使用“agent”作为目标来指定它。否则，输出将仅重定向到指定的目标。

5.常规问题

5.1 是否有必要在每个代理上分析日志?

不，管理器从所有代理获取日志，然后分析信息。

管理器多久监控一次日志？

管理器实时监控日志。

日志存储在服务器上多长时间？

默认情况下，不会自动删除存储日志。但是，您可以根据当地的法律和法规要求选择何时手动或自动（例如cron计划任务自动删除）删除日志。

这如何帮助进行合规性？

日志分析符合标准：PCI DSS合规性，HIPAA合规性，FISMA合规性和SOX合规性。

代理上的CPU使用率是多少？

Wazuh代理的内存和CPU要求是非常低的，因为它的主要职责是将事件转发给管理器。但是，在Wazuh管理器上，CPU和内存消耗可能会迅速增加，具体取决于管理器每秒出来实际的数量（EPS）。

Wazuh从哪里可以获得日志信息？

Wazuh可以从文本日志文件，Windows事件日志和事件通道以及远程syslog中读取日志消息。日志实时监控。

可以向Wazuh发送防火墙，VPN，身份验证日志吗？

可以。Wazuh能够从使用syslog协议发送日志的设备接收和处理日志。您可以为特定设备的日志创建自定义解码器和规则。

Wazuh可以从日志中提取哪些信息？

这取决于您的需求。一旦了解了应用程序日志的格式和典型事件，就可以为它们创建解码器和规则。

我可以忽略那些不重要的事件？

您可以配置规则以忽略您认为不重要的某些事件。有关更多信息，请参阅：自定义规则

 

二、文件完整性监控

Wazuh的文件完整性监控（FIM）系统所选文件，在修改这些文件时触发告警。负责此任务的组件称为syscheck。此组件存储加密校验以及已知正常文件或Windows注册表项的修改监控，并定期将其与系统使用的当前文件进行比较，以查看更改。

1.处理流程

1. Wazuh代理扫描系统并将对监视文件和Windows注册表项的校验和以及属性发送给Wazuh管理器。以下选项是可配置的：

1.7 扫描网络接口

Wazuh扫描系统上启用了混杂模式的网络接口。如果该接口处于混杂模式，则ifconfig命令的输出将可以显示出来。这可能是恶意软件存在的特点。

1.8 Rootkit检查

Rootcheck使用自己的rootkit签名数据库执行多项检查：rootkit_files.txt，rootkit_trojans.txt和win_malware_rcl.txt。可是，这些签名已过时了。

2.配置

2.1 基本的例子

要配置syscheck和rootcheck的选项，请转到ossec.conf。如果您想了解有关可用准确的配置选项的更多信息，请转到Syscheck部分和Rootcheck部分。另请参阅以下部分：frequency，rootkit_files和rootkit_trojans。

以下是如何为rootkit（文件和特洛伊木马）配置数据库的基本示例：

<rootcheck>

  <rootkit_files>/var/ossec/etc/shared/rootkit_files.txt</rootkit_files>

  <rootkit_trojans>/var/ossec/etc/shared/rootkit_trojans.txt</rootkit_trojans>

</rootcheck>

2.3 忽略误报

<rule id="100100" level="0">

    <if_group>rootcheck</if_group>

    <match>/dev/.blkid.tab</match>

    <description>Ignore false positive for /dev/.blkid.tab</description>

</rule>

3.常规问题

3.1 rootcheck多久运行一次？

该rootcheck扫描频率是可配置的频率。默认情况下，它每2小时运行一次。

3.2 rootcheck如何知道要查找的rootkit文件？

rootcheck引擎具有rootkit签名的数据库：rootkit_files.txt，rootkit_trojans.txt和win_malware_rcl.txt。可是，签名已经过时了。

3.3 rootcheck是否检查正在运行的进程？

是的，rootcheck检查所有正在运行的进程，查找不同系统调用的变化。

3.4 隐藏文件怎么样？

rootcheck引擎扫描整个系统，当使用fopen + read调用时，Wazuh扫描整个系统并比较统计大小和文件大小之间的差异。每个目录中的节点数也与opendir + readdir的输出进行比较。如果所有结果都不匹配，则可能存在恶意软件。

 

五、监控安全策略

策略监视是验证所有系统是否符合有关配置设置和已规定的应用程序使用的一组预定义规则的过程。

Wazuh使用三个组件来执行此任务：Rootcheck，OpenSCAP和CIS-CAT。

1.Rootcheck

Wazuh监控配置文件以确保符合您的安全策略，标准，代理执行定期扫描以检测已知易受攻击点，未修补，配置错误的应用程序。

1.1 处理流程

Rootcheck允许定义策略以检查代理是否满足指定的要求。

 

该rootcheck引擎可以进行检查进程是否正在运行：

• 检查文件是否存在
• 检查文件的内容是否包含模式，或者Windows注册表项是否包含特殊字符串是否存在。

使用这些检查，已经有如下策略：

cis_debian_linux_rcl.txt	基于CIS Benchmark for Debian Linux v1.0
cis_rhel5_linux_rcl.txt	基于CIS Benchmark for Red Hat Enterprise Linux 5 v2.1.0
cis_rhel6_linux_rcl.txt	基于CIS Benchmark for Red Hat Enterprise Linux 6 v1.3.0
cis_rhel7_linux_rcl.txt	基于CIS Benchmark for Red Hat Enterprise Linux 7 v1.1.0
cis_rhel_linux_rcl.txt	基于CIS Benchmark for Red Hat Enterprise Linux v1.0.5
cis_sles11_linux_rcl.txt	基于CIS Benchmark for SUSE Linux Enterprise Server 11 v1.1.0
cis_sles12_linux_rcl.txt	基于CIS Benchmark for SUSE Linux Enterprise Server 12 v1.0.0
system_audit_rcl.txt	Web漏洞和漏洞利用
win_audit_rcl.txt	检查注册表值
system_audit_ssh.txt	SSH检查
win_applications_rcl.txt	检查是否安装了恶意应用程序

与策略监测相关的告警：

• 512：Windows审核
• 514：Windows应用程序
• 516：Unix审计

策略和合规性监视数据库通常在管理器上维护，管理器将它们分发给所有代理。

现有策略规则的示例：

# PermitRootLogin not allowed

# PermitRootLogin indicates if the root user can log in via ssh.

$sshd_file=/etc/ssh/sshd_config;

[SSH Configuration - 1: Root can log in] [any] [1]

f:$sshd_file -> !r:^# && r:PermitRootLogin\.+yes;

f:$sshd_file -> r:^#\s*PermitRootLogin

告警示例：

** Alert 1487185712.51190: - ossec,rootcheck,

2017 Feb 15 11:08:32 localhost->rootcheck

Rule: 516 (level 3) -> 'System Audit event.'

System Audit: CIS - RHEL7 - 6.2.9 - SSH Configuration - Empty passwords permitted {CIS: 6.2.9 RHEL7} {PCI_DSS: 4.1}. File: /etc/ssh/sshd_config. Reference: https://benchmarks.cisecurity.org/tools2/linux/CIS_Red_Hat_Enterprise_Linux_7_Benchmark_v1.1.0.pdf .

title: CIS - RHEL7 - 6.2.9 - SSH Configuration - Empty passwords permitted

file: /etc/ssh/sshd_config

1.2 配置

1.2.1 基本用法

要配置rootcheck的选项，进入Rootcheck中ossec.conf。最常见的配置选项是：频率和系统审计

配置审计策略的基本示例：

<rootcheck>

  <system_audit>./db/system_audit_rcl.txt</system_audit>

  <system_audit>./db/cis_debian_linux_rcl.txt</system_audit>

  <system_audit>./db/cis_rhel_linux_rcl.txt</system_audit>

</rootcheck>

1.2.2 配置定期扫描

这是每10小时运行一次扫描的基本配置：

<rootcheck>

   <frequency>36000</frequency>

   <system_audit>/var/ossec/etc/shared/system_audit_rcl.txt</system_audit>

   <system_audit>/var/ossec/etc/shared/cis_debian_linux_rcl.txt</system_audit>

   <system_audit>/var/ossec/etc/shared/cis_rhel_linux_rcl.txt</system_audit>

   <system_audit>/var/ossec/etc/shared/cis_rhel5_linux_rcl.txt</system_audit>

 </rootcheck>

1.2.3 Root访问SSH

1.首先，您需要创建自定义审计文件（audit_test.txt）：

# PermitRootLogin not allowed

# PermitRootLogin indicates if the root user can log in by ssh.

$sshd_file=/etc/ssh/sshd_config;

[SSH Configuration - 1: Root can log in] [any] [1]

f:$sshd_file -> !r:^# && r:PermitRootLogin\.+yes;

f:$sshd_file -> r:^#\s*PermitRootLogin;

2.在rootcheck选项中引用我们的新文件：

<rootcheck>

   <system_audit>/var/ossec/etc/shared/audit_test.txt</system_audit>

</rootcheck>

1.3  常规问题

我可以指定自己的审计文件进行策略监控吗？

是的，您可以使用system_audit选项。示例SSH规则

2.OpenSCAP

OpenSCAP wodle是OpenSCAP与Wazuh HIDS的集成，可提供执行配置的功能。它主要用于：

2.1.1 要求

此wodle程序在代理上执行，因此每个代理必须满足以下要求：

2.1.2 默认策略

这些是Wazuh默认包含的安全策略：

CentOS	6	ssg-centos-6-ds.xml	Server, PCI	N/A
7	ssg-centos-7-ds.xml	Common, PCI	N/A
RedHat	6	ssg-rhel-6-ds.xml	Server, PCI	N/A
cve-redhat-6-ds.xml	N/A	Y
7	ssg-rhel-7-ds.xml	Common , PCI	N/A
cve-redhat-7-ds.xml	N/A	Y
Debian	8	ssg-debian-8-ds.xml	Common	N/A
Ubuntu	xenial	ssg-ubuntu-1604-ds.xml	Common	N/A
trusty	cve-debian-oval.xml	N/A	Y
precise	cve-debian-oval.xml	N/A	Y
Fedora	24	ssg-fedora-ds.xml	Common	N/A

每个代理都必须有自己的策略(/var/ossec/wodles/oscap/content)

Wodle处理流程

代理将根据配置定期运行openscap-scanner。扫描的每个结果都将发送到Manager，如果扫描结果的状态是失败，它将生成警报。可以调整规则以发送传输结果。

{

    "timestamp": "2017-03-20T15:59:43-0700",

    "rule": {

      "level": 7,

      "description": "OpenSCAP: Set Lockout Time For Failed Password Attempts (not passed)",

      "id": "81530",

      "firedtimes": 5,

      "groups": [

        "oscap",

        "oscap-result"

      ],

      "pci_dss": [

        "2.2"

      ]

    },

    "agent": {

      "id": "1040",

      "name": "ip-10-0-0-76",

      "ip": "10.0.0.76"

    },

    "manager": {

      "name": "vpc-ossec-manager"

    },

    "full_log": "oscap: msg: \"xccdf-result\", scan-id: \"10401490050781\", content: \"ssg-centos-7-ds.xml\", title: \"Set Lockout Time For Failed Password Attempts\", id: \"xccdf_org.ssgproject.content_rule_accounts_passwords_pam_faillock_unlock_time\", result: \"fail\", severity: \"medium\", description: \"To configure the system to lock out accounts after a number of incorrect login attempts and require an administrator to unlock the account using pam_faillock.so, modify the content of both /etc/pam.d/system-auth and /etc/pam.d/password-auth as follows: add the following line immediately before the pam_unix.so statement in the AUTH section: auth required pam_faillock.so preauth silent deny= unlock_time= fail_interval= add the following line immediately after the pam_unix.so statement in the AUTH section: auth [default=die] pam_faillock.so authfail deny= unlock_time= fail_interval= add the following line immediately before the pam_unix.so statement in the ACCOUNT section: account required pam_faillock.so\", rationale: \"Locking out user accounts after a number of incorrect attempts prevents direct password guessing attacks. Ensuring that an administrator is involved in unlocking locked accounts draws appropriate attention to such situations.\" references: \"AC-7(b) (http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r4.pdf), 47 (http://iase.disa.mil/stigs/cci/Pages/index.aspx)\", identifiers: \"CCE-26884-7 (http://cce.mitre.org)\", oval-id: \"oval:ssg:def:166\", benchmark-id: \"xccdf_org.ssgproject.content_benchmark_RHEL-7\", profile-id: \"xccdf_org.ssgproject.content_profile_pci-dss\", profile-title: \"PCI-DSS v3 Control Baseline for CentOS Linux 7\".",

    "oscap": {

      "scan": {

        "id": "10401490050781",

        "content": "ssg-centos-7-ds.xml",

        "benchmark": {

          "id": "xccdf_org.ssgproject.content_benchmark_RHEL-7"

        },

        "profile": {

          "id": "xccdf_org.ssgproject.content_profile_pci-dss",

          "title": "PCI-DSS v3 Control Baseline for CentOS Linux 7"

        }

      },

      "check": {

        "title": "Set Lockout Time For Failed Password Attempts",

        "id": "xccdf_org.ssgproject.content_rule_accounts_passwords_pam_faillock_unlock_time",

        "result": "fail",

        "severity": "medium",

        "description": "To configure the system to lock out accounts after a number of incorrect login attempts and require an administrator to unlock the account using pam_faillock.so, modify the content of both /etc/pam.d/system-auth and /etc/pam.d/password-auth as follows: add the following line immediately before the pam_unix.so statement in the AUTH section: auth required pam_faillock.so preauth silent deny= unlock_time= fail_interval= add the following line immediately after the pam_unix.so statement in the AUTH section: auth [default=die] pam_faillock.so authfail deny= unlock_time= fail_interval= add the following line immediately before the pam_unix.so statement in the ACCOUNT section: account required pam_faillock.so",

        "rationale": "Locking out user accounts after a number of incorrect attempts prevents direct password guessing attacks. Ensuring that an administrator is involved in unlocking locked accounts draws appropriate attention to such situations.",

        "references": "AC-7(b) (http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r4.pdf), 47 (http://iase.disa.mil/stigs/cci/Pages/index.aspx)",

        "identifiers": "CCE-26884-7 (http://cce.mitre.org)",

        "oval": {

          "id": "oval:ssg:def:166"

        }

      }

    },

    "decoder": {

      "parent": "oscap",

      "name": "oscap"

    },

    "location": "wodle_open-scap"

}

扫描完成后，将发送告警事件，生成警报：

{

    "timestamp": "2017-03-20T15:59:43-0700",

    "rule": {

      "level": 5,

      "description": "OpenSCAP Report overview: Score less than 80",

      "id": "81542",

      "firedtimes": 2,

      "groups": [

        "oscap",

        "oscap-report"

      ],

      "pci_dss": [

        "2.2"

      ]

    },

    "agent": {

      "id": "1040",

      "name": "ip-10-0-0-76",

      "ip": "10.0.0.76"

    },

    "manager": {

      "name": "vpc-ossec-manager"

    },

    "full_log": "oscap: msg: \"xccdf-overview\", scan-id: \"10401490050797\", content: \"ssg-centos-7-ds.xml\", benchmark-id: \"xccdf_org.ssgproject.content_benchmark_RHEL-7\", profile-id: \"xccdf_org.ssgproject.content_profile_common\", profile-title: \"Common Profile for General-Purpose Systems\", score: \"75.000000\".",

    "oscap": {

      "scan": {

        "id": "10401490050797",

        "content": "ssg-centos-7-ds.xml",

        "benchmark": {

          "id": "xccdf_org.ssgproject.content_benchmark_RHEL-7"

        },

        "profile": {

          "id": "xccdf_org.ssgproject.content_profile_common",

          "title": "Common Profile for General-Purpose Systems"

        },

        "score": "75.000000"

      }

    },

    "decoder": {

      "parent": "oscap",

      "name": "oscap"

    },

    "location": "wodle_open-scap"

}

 

2.2 配置

2.2.1 基本用法

要配置OpenSCAP的选项，请转到ossec.conf，或有关特定选项的更多详细信息，请参阅OpenSCAP部分。

在此示例中，我们将Wazuh配置为每天运行OpenSCAP，超时时间为30分钟

<wodle name="open-scap">

  <disabled>no</disabled>

  <timeout>1800</timeout>

  <interval>1d</interval>

  <scan-on-start>yes</scan-on-start>

  <content type="xccdf" path="ssg-centos-7-ds.xml">

    <profile>xccdf_org.ssgproject.content_profile_pci-dss</profile>

    <profile>xccdf_org.ssgproject.content_profile_common</profile>

  </content>

</wodle>

2.2.2 评估RHEL7上的PCI-DSS合规性

本节介绍如何评估Red Hat Enterprise Linux 7代理上的金融支付行业数据安全标准（PCI-DSS）合规性。

第1步：配置代理

必须正确识别每个代理，以便知道要执行的策略和配置文件。

agent:ossec.conf

<client>

  <server>

    <address>10.0.1.4</address>

    <port>1514</port>

    <protocol>tcp</protocol>

  </server>

  <config-profile>redhat7</config-profile>

</client>

第2步：配置管理器

我们只想在Red Hat 7服务器上执行SSG RH7策略的PCI-DSS配置文件。

manage: /var/ossec/etc/shared/default/agent.conf（假设代理在default组中）：

<agent_config profile="redhat7">

  <wodle name="open-scap">

    <content type="xccdf" path="ssg-rhel7-ds.xml">

      <profile>xccdf_org.ssgproject.content_profile_pci-dss</profile>

    </content>

  </wodle>

</agent_config>

第3步：重新启动管理器和代理

要应用新配置，请重新启动管理器：

1. 对于SysV Init：

现在，重新启动所有代理：

如果您愿意，可以使用选项-u <id>重新启动特定代理，其中id是代理的ID号.

第4步：查看警报

评估完成后，您将看到结果为OSSEC警报：

/var/ossec/logs/alerts/alerts.log

** Alert 1463752181.32768: - oscap,rule-result,pci_dss_2.2,

2016 May 20 13:49:41 (RH_Agent) 10.0.1.7->wodle_open-scap

Rule: 81529 (level 5) -> 'OpenSCAP rule failed (severity low).'

oscap: msg: "rule-result", id: "47T7_Qd08gm4y8TSoD53", policy: "ssg-rhel7-ds.xml", profile: "xccdf_org.ssgproject.content_profile_pci-dss", rule_id: "xccdf_org.ssgproject.content_rule_sshd_set_idle_timeout", result: "fail", title: "Set SSH Idle Timeout Interval", ident: "CCE-26611-4", severity: "low".

** Alert 1463752181.33254: - oscap,report-overview,pci_dss_2.2, 2016 May 20 13:49:41 (RH_Agent) 10.0.1.7->wodle_open-scap Rule: 81542 (level 4) -> 'OpenSCAP Report overview: Score less than 80' oscap: msg: "report-overview", id: "47T7_Qd08gm4y8TSoD53", policy: "ssg-rhel7-ds.xml", profile: "xccdf_org.ssgproject.content_profile_pci-dss", score: "56.835060" / "100.000000", severity of failed rules: "high": "1", "medium": "9", "low": "34", "n/a": "0".

请注意，提取每个字段以便于搜索和分析。

第5步：仪表图

最后，您可以使用Kibana的OpenSCAP显示结果：