OSSEC, un HIDS qui fait le café

Magazine
Marque
GNU/Linux Magazine
n°
Numéro
128
Mois de parution
juin 2010
Auteurs
Par
Lecigne Clément


Résumé
Tripwire, AIDE, Samhain sont des noms dont vous avez déjà sûrement entendu parler. En effet, ceux sont les trois « Host based Intrusion Detection System » (HIDS) libres les plus répandus, qui sont mentionnés à chaque article traitant de sécurité. Le problème de ces trois HIDS est qu'ils se limitent uniquement à vérifier l'intégrité de certains fichiers de la machine qu'ils protègent et cela n'est bien évidemment pas suffisant. Ainsi, on retrouve généralement en plus de ces outils, des programmes comme rkhunter ou logcheck pour détecter la présence de rootkits sur le système et détecter des comportements étranges à travers l'analyse des logs, deux choses que ces trois HIDS ne sont pas capables de faire. Dans cet article, nous verrons qu'il existe un HIDS libre qui remplit toutes les fonctionnalités nécessaires pour protéger efficacement une ou un ensemble de machines. Cet HIDS se nomme OSSEC.

1. Présentation des HIDS

Les Host based Intrusion Detection System (HIDS), aussi appelés « IDS systèmes » en français, sont des programmes qui surveillent le système sur lequel ils sont installés dans le but de constater une intrusion ou une tentative d'intrusion.

Les moyens mis en œuvre par un HIDS tournent généralement autour de la vérification de l'intégrité du système de fichiers de la machine surveillée. Le fonctionnement basique de ces programmes est alors le suivant :

  • Lors de la première utilisation, le programme construit une base avec les empreintes de tous les fichiers à surveiller. Cette base est chiffrée et éventuellement placée sur un système externe ou un support en lecture seule.
  • À intervalles réguliers, le programme vérifie si chaque empreinte de fichier surveillé coïncide toujours avec celle présente dans la base. Si ce n'est pas le cas, cela veut dire que le fichier a été modifiée et une alerte est remontée…
La suite est réservée aux abonnés. Il vous reste 96% à découvrir.
  • Accédez à tous les contenus de Connect en illimité
  • Découvrez des listes de lecture et des contenus Premium
  • Consultez les nouveaux articles en avant-première
Envie de lire la suite ? Rejoignez Connect
Je m'abonne maintenant


Article rédigé par

Lecigne Clément
Lecigne Clément
6 articles

Par le(s) même(s) auteur(s)

Plus d'article de cet auteur

Netusse, fuzzer de noyaux depuis 2006

Magazine
Marque
MISC
n°
Numéro
64
Mois de parution
novembre 2012
Auteurs
Par
Lecigne Clément
Spécialité(s)
Exploit
Résumé

Netusse est un fuzzer de sockets qui casse des noyaux depuis 2006. Cet exploit corner commence par décrire l'histoire et le fonctionnement interne de netusse puis présente quelques vulnérabilités intéressantes trouvées avec ce fuzzer et termine enfin par l'exploitation d'une de ces vulnérabilités sur OpenBSD.

Lire l'article

Les nouveautés de FreeBSD 8.0

Magazine
Marque
GNU/Linux Magazine
n°
Numéro
121
Mois de parution
novembre 2009
Auteurs
Par
Lecigne Clément
Résumé
À l'heure où vous lisez ces lignes, des lutins plus ou moins verts traversent le world wide web pour transporter des morceaux de la dernière version stable du système d'exploitation à la bouboule rouge, j'ai nommé FreeBSD. En effet, actuellement en première release candidate depuis quelques semaines, la version 8.0 devrait pointer le bout de son nez dans peu de temps. Cette version apporte son gros lot de nouvelles fonctionnalités et de changements qui sont, pour les plus croustillants d'entres eux, décrits dans cet article.À l'instar de l'article publié à la suite de la sortie de la 7.0, cet article décrit les fonctionnalités les plus intéressantes qui ont été intégrées dans cette nouvelle version majeure de FreeBSD. L'article est découpé en parties qui présentent, chacune, les changements majeurs dans un domaine spécifique de FreeBSD.
Lire l'article

Un web honeypot avec cherrypy

Magazine
Marque
GNU/Linux Magazine
n°
Numéro
113
Mois de parution
février 2009
Auteurs
Par
Lecigne Clément
Résumé
Combien d’administrateurs système n'ont jamais vu leurs logs de serveur web polués par des requêtes HTTP moisies qui visent à exploiter des failles web sur des pages inexistantes ? Très peu, je pense. Cet article explique l'écriture d'un outil, appelé « web honeypot », qui va permettre de capturer toutes les requêtes invalides afin de les analyser et de répondre en conséquence. Ceci permettra de comprendre les intentions des pirates et, qui sait, peut-être de trouver des failles web encore méconnues du grand public (c'est beau de rêver).
Lire l'article

Les listes de lecture

Python niveau débutant
9 article(s) - ajoutée le 01/07/2020
Code
Vous désirez apprendre le langage Python, mais ne savez pas trop par où commencer ? Cette liste de lecture vous permettra de faire vos premiers pas en découvrant l'écosystème de Python et en écrivant de petits scripts.
Au pays des algorithmes
11 article(s) - ajoutée le 01/07/2020
Algo
La base de tout programme effectuant une tâche un tant soit peu complexe est un algorithme, une méthode permettant de manipuler des données pour obtenir un résultat attendu. Dans cette liste, vous pourrez découvrir quelques spécimens d'algorithmes.
Analyse de données en Python
10 article(s) - ajoutée le 01/07/2020
Code
À quoi bon se targuer de posséder des pétaoctets de données si l'on est incapable d'analyser ces dernières ? Cette liste vous aidera à "faire parler" vos données.
Plus de listes de lecture