OSSEC es un proyecto open source de gestión de Logs, que monitoriza una máquina, y que detecta las anomalías que puedan producirse en ella. Para hacer esto utiliza herramientas para la detección de rootkits, para revisar la integridad de ficheros y ejecutables del sistema, y por último un potente sistema para analizar logs.
Tabla de Contenido
Esta basado en un modelo de cliente-servidor, con lo cual tendremos un servidor centralizado que se encarga de recibir y actuar en base a la información que reciba de los agentes que, en definitiva, son las máquinas que están siendo monitorizadas y atacadas. La forma de actuar del servidor es, por una parte, enviando notificaciones, y por otro lado, si así se configura, generando reglas firewall que se ejecutarán en los propios agentes.
Funciona en la mayoría de sistemas operativos, incluyendo Linux, OpenBSD, FreeBSD, MacOS, Solaris y Windows, ademas acaba de salir la nueva versión 2.5 de este proyecto, la cual incluye numerosos cambios que hacen de este proyecto una verdadera opción a elegir.
Qué hace un HIDS como OSSEC
OSSEC es un sistema de detección de intrusos basado en host (HIDS): no vigila la red, vigila cada máquina. Sus cuatro capacidades, ya presentes en la descripción original, son las que definen esta categoría:
- Monitorización de integridad de archivos: detecta si un archivo o ejecutable del sistema cambió, cuándo y cómo. Un binario modificado sin explicación es una de las señales más claras de compromiso.
- Análisis de logs: recoge y correlaciona los registros del sistema para detectar patrones de ataque, intentos de acceso fallidos repetidos y comportamientos anómalos.
- Detección de rootkits: busca las huellas que dejan los kits diseñados para ocultar la presencia de un intruso en el sistema.
- Respuesta activa: ante ciertos eventos, el servidor puede actuar automáticamente, por ejemplo bloqueando en el firewall del agente la dirección origen del ataque.
La arquitectura cliente-servidor es la que hace esto escalable: los agentes recogen y envían, el servidor central analiza, alerta y responde. Sin ese centro, cada máquina sería una isla y ningún patrón entre varias máquinas se vería.
Nota sobre vigencia: OSSEC y Wazuh
La versión 2.5 es la de 2010. El proyecto OSSEC sigue disponible y su página de descargas funciona, pero su desarrollo entró en modo mantenimiento. En 2015, el equipo de Wazuh bifurcó (fork) el proyecto y lo convirtió en una plataforma más amplia, con desarrollo activo, interfaz y capacidades de SIEM. Para un despliegue nuevo hoy, la vía con mantenimiento activo es Wazuh, y su propia documentación explica la migración desde OSSEC:
Migrar de OSSEC a Wazuh (documentación de Wazuh)
OSSEC sigue siendo una buena referencia para entender qué es un HIDS y cómo se estructura: si entiendes su modelo agente-servidor, sus reglas y su respuesta activa, entiendes la base sobre la que se construyó su sucesor.
Descargar OSSEC 2.5
Mas Información:
Pagina Oficial del OSSEC
