Re: question IDS? réponse: OSSEC HIDS

[Laurent Besson <lolo@system-linux.net>]

Re,

Dans /var/ossec/etc/ossec.conf j'ai ajouté :
  <command>
    <name>apache-drop</name>
    <executable>apache-drop.sh</executable>
    <expect>srcip</expect>
    <timeout_allowed>yes</timeout_allowed>
  </command>  

  <active-response>
    <!-- Firewall Drop response. Block the IP for
       - 18000 seconds on the firewall (iptables,
       - ipfilter, etc). When Something wrong with apache.
      -->
    <command>apache-drop</command>
    <location>local</location>
    <level>5</level>
    <timeout>18000</timeout>    
  </active-response>  

Pour le script apache-drop.sh (pour l'instant) :
ln 
-s /var/ossec/active-response/bin/firewall-drop.sh /var/ossec/active-response/bin/apache-drop.sh

Je suis entrain de réfléchir comment mettre en place une redirection, sur une 
page pour informer la personne (si elle existe) que son PC lance des requêtes 
incongrues sur le site et que cela se traduira par un blocage et (alerte à 
son FAI )

Voilà, voilà