Slack-интеграция OSSEC

Я хочу, чтобы все уведомления OSSEC направлялись в комнату Slack, а не по электронной почте. 2.9.Beta5 имеет скрипт активного ответа ossec-slack.sh. Соответствующие части моего ossec.conf:

<command>
  <name>ossec-slack</name>
  <executable>ossec-slack.sh</executable>
  <expect>srcip</expect>
  <timeout_allowed>no</timeout_allowed>
</command>


<active-response>
  <command>ossec-slack</command>
  <location>local</location>
  <level>1</level>
</active-response>

Это работает для входов в систему SSH (неудачных и успешных), но, насколько я могу судить, больше ничего не вызывает. Что я делаю не так/как это делают другие? Это просто бета-версия программного обеспечения?


slack-api
person Mark Fletcher    schedule 04.05.2016    source источник

Ответы (1)


arrow_upward
8
arrow_downward

Сначала убедитесь, что ваш ossec-slack.sh файл имеет правильную информацию в верхней части:

# FILE: /var/ossec/active-response/bin/ossec-slack.sh

SLACKUSER="ossec"
CHANNEL="#slack_chanel"  # include the hash "#"
SITE="https://hooks.slack.com/services/TOKEN"
SOURCE="ossec2slack"

Ваше "SLACKUSER" совпадает с полем «Настроить имя», которое вы установили на странице интеграции Slack WebHook.

Пример интеграции со SLACKUSER

Теперь, когда ваш файл ossec-slack.sh настроен, вы можете вручную протестировать интеграцию со Slack:

/var/ossec/active-response/bin/ossec-slack.sh

Запуск скрипта вручную опубликует последние записи из вашего файла журнала предупреждений:

/var/ossec/logs/alerts/alerts.log

Когда этот сценарий запускается как активный ответ, он публикует информацию только для текущего предупреждения, а не из вашего файла журнала.

Убедившись, что вы можете публиковать сообщения Slack вручную, добавьте следующие блоки XML в файл ossec.conf:

<!-- FILE: /var/ossec/etc/ossec.conf -->

<ossec_config>
    <command>
        <name>ossec-slack</name>
        <executable>ossec-slack.sh</executable>
        <expect></expect> <!-- no expect args required -->
        <timeout_allowed>no</timeout_allowed>
    </command>

    <active-response>
        <command>ossec-slack</command>
        <location>local</location>
        <level>3</level>
    </active-response>
</ossec_config>

Приведенные выше настройки будут публиковаться в вашем канале Slack всякий раз, когда срабатывает оповещение уровня 3 или выше.

Примечание. в теге <expect> не требуется никаких аргументов. Но сам тег <expect> обязателен. Дополнительные сведения см. в активном ответе документации OSSEC. .

Чтобы протестировать эту интеграцию, перезапустите сервер ossec:

/var/ossec/bin/ossec-control restart

Вы должны увидеть предупреждение "OSSEC Started" очень быстро:

«Сообщение

Если вы не видите предупреждение, проверьте свои журналы на наличие неправильных конфигураций:

tail /var/ossec/etc/logs/ossec.log
tail /var/ossec/logs/active-responses.log
person f1lt3r    schedule 20.09.2016
comment
Следует помнить, что если вы используете это в более стандартной среде с мастером и несколькими агентами, вам необходимо изменить местоположение в активном ответе на сервер, иначе команда активного ответа будет выполнена на агенте, который поднимает тревогу. - person Ben A; 18.12.2017