NAGIOSアラートをOSSIMサーバーに送信する方法
OSSIMサーバーをインストールしましたが、リモートのNagiosサーバーによって生成されたアラートを取得して、それらを分析し、セキュリティイベントの相関を実行したいと思います。
手に入れる前に、正しいアプローチとは何かを知りたいと思います。
- アラートをOSSIMサーバーに転送するようにNagiosを構成する必要がありますか？それは可能ですか？
- Nagiosが実行されているマシンにOSSECエージェントをインストールする必要がありますか？もしそうなら、OSSECとNagiosをどのように設定する必要がありますか？
- 他に解決策はありますか？
ありがとう！
更新：
「ほぼ」機能し、NAGIOSアラートがrsyslogを介して正しく転送されていることがわかりますが、OSSIMはそれらをsyslogの通常のログと見なすため、NAGIOSプラグインでは処理されません。 NAGIOSアラートを相互に関連付けるためにOSSIMルールを作成する必要があるため、NAGIOSアラートをNAGIOSプラグインで処理する必要があります。
私が思いついたいくつかの可能な解決策は次のとおりです。syslogログを読み取るための一種のプラグインを開発し、リモートNAGIOSからのログを抽出して、OSSIMに送信します。 OSSIMのプラグインの開発はどのくらい複雑ですか？ OSSIMを構成し、「埋め込まれた」NAGIOSをリモートのものに置き換えます。それは可能ですか？もしそうなら、どのように？ローカルとリモートの2つのNAGIOSを使用できるようにOSSIMを構成します。それは可能ですか？もしそうなら、どのように？ NSCAプロトコルを介して、リモートNAGIOSのアラートをローカルNAGIOSにプッシュします。それはうまくいくでしょうか？分散（DNX）NAGIOSシステムを作成し、ローカルNAGIOSをマスターとして、リモートNAGIOSをスレーブとして構成します。それはうまくいくでしょうか？皆さんはどう思いますか？これらのソリューションのどれが機能しますか？もっといいアイデアはありますか？
ありがとう。
Nagiosをsyslogにログを記録するように設定してから、OSSIM（リモートログを受信するためにrsyslogが有効になっている）にイベントをプッシュするように構成できます（rsyslogなど）。
とにかくNagiosボックスにOSSECを置きたいと思うかもしれませんが、これは必要ではありませんjustイベントをOSSIMに取り込むために。