NAT Arkasında Bulunan Ossec Agent’lar İçin Yapılandırma

Daha önce OSSEC isimli HIDS uygulamasından bahsedip, server/client mimarisi ile kurulumunu ve yapılandırmasına   (http://www.linuxakademi.com.tr/ossec-hids-kurulumu-ve-yapilandirmasi/) adresinde değinmiştik. Bu yazıda ise NAT arkasında bulunan birden fazla Ossec Agent’in nasıl monitor edilebileceğinden bahsedeceğiz. Zira, NAT arkasında bulunan birden çok sistemi Ossec üzerinden monitor etmek istediğiniz de, bu sistemlere bire bire NAT yapmaya gerek kalmadan aynı ip adresi üzerinde hizmet veren (yani dışarıdan erişilebilir  tek IP’si olan) birden fazla makineye entegre edilebilecek şekilde tasarlanmıştır. Bu yönetim sistemi  istemcinin ip  adresine göre değil üretilen key(anahtar) değerine göre belirlenmektedir.

Bu sistemi bir örnek üzerinden açıklamak gerekirse, İnternet üzerinde bulunan sunucunuzda bir sanallaştırma platformu üzerinden birden fazla sistem çalıştırabilir ve bu sanal sunucuları dışarı NAT’layarak tek bir IP üzerinden çıkmalarını sağlayabilirsiniz. Böyle bir yapıda Ossec Manager’ınız da internet üzerindeki başka bir sistem üzerinde çalışıyorsa, agent eklerken girmeniz gereken agent IP’si konusunda karmaşıklık olacaktır. Zira Ossec Manager, bu agent’lar ile aynı networkte olmadığından, internet üzerinden gelmeli ve fakat her agent aynı IP üzerinden NAT’lı olduğu için birebir NAT yapmadığınız yani her agent için gerçek bir IP kullanmadığınız müddetçe Manager’a spesifik bir agent IP’si vermeniz mümkün olmayacaktır. İşte bir firewall arkasında bulunan ve NAT’lanarak erişilebilen bir sistem için agent ekleme işlemini aşağıdaki şekilde yapmanız gerekecektir.

İlk adım Ossec Manager tarafından normal şekilde agent ekleme işlemi yapmaktır. Bunun için ossec yönetim arabirimine girilir.

Daha sonra ekleme işlemi yapabilmek için “A” tuşuna basılır ve devam edilir.

Burada, ilk adımda yeni oluşturulan istemciye bir isim verdikten sonra, agent’in IP adresini girmeniz istenecektir. Eğer ekleyeceğimiz agent direk olarak gerçek ip adresi üzerinde hizmet vermiyor ise burada IP adresi olarak “any” değeri girilmelidir. Diğer bilgiler normal olarak doldurulduktan sonra yapılan değişiklikleri onaylamak adına “y” tuşuna basılarak devam edilir.

Bundan sonrası klasik agent ekleme işleminin devamı ile aynıdır. İlk olarak eklenen agent için bir anahtar üretilir.

Daha sonra üretilen bu anahtar değeri agent tarafında ossec yönetim arabiriminden içe aktarılır.

Import işleminin ardından yapılması gereken son işlem ise değişikliklerin kaydedilmesi için ossec manager ve ossec agent tarafında ossec servislerinin yeniden başlatılması olacaktır.

Bu şekilde tanımlama sonlanmış olacaktır. Şimdi Ossec Manager bu agent’i tanımlamak için kendisine ait key’i kullanacağı için agent IP’sine ihtiyaç duymaksızın monitoring işlemini yapabilecektir.