search

9.1 配置漏洞扫描

使用配置文件共享，下发开启软件服务信息收集功能。配置完成之后，重启管理端服务。

[root@wazuh-manager opt]# cat /var/ossec/etc/shared/default/agent.conf 
<agent_config>
  <wodle name="syscollector">
    <disabled>no</disabled>
    <interval>30s</interval>
    <os>yes</os>
    <packages>yes</packages>
  </wodle>
</agent_config>

如果要扫描Windows代理端的话，需要额外添加hotfixes参数。

  <hotfixes>yes</hotfixes>

修改管理端配置文件，开启漏洞扫描功能和各操作系统的扫描。为了说明，我设置了扫描时间为1分钟，更新漏洞数据信息为1分钟。修改完成之后，重新管理端服务。

  <vulnerability-detector>
    <enabled>yes</enabled>
    <interval>1m</interval>
    <ignore_time>6h</ignore_time>
    <run_on_start>yes</run_on_start>

    <!-- Ubuntu OS vulnerabilities -->
    <provider name="canonical">
      <enabled>yes</enabled>
      <os>trusty</os>
      <os>xenial</os>
      <os>bionic</os>
      <os>focal</os>
      <update_interval>1m</update_interval>
    </provider>

    <!-- Debian OS vulnerabilities -->
    <provider name="debian">
      <enabled>yes</enabled>
      <os>stretch</os>
      <os>buster</os>
      <update_interval>1m</update_interval>
    </provider>

    <!-- RedHat OS vulnerabilities -->
    <provider name="redhat">
      <enabled>yes</enabled>
      <os>5</os>
      <os>6</os>
      <os>7</os>
      <os>8</os>
      <update_interval>1m</update_interval>
    </provider>

    <!-- Windows OS vulnerabilities -->
    <provider name="msu">
      <enabled>yes</enabled>
      <update_interval>1m</update_interval>
    </provider>

    <!-- Aggregate vulnerabilities -->
    <provider name="nvd">
      <enabled>yes</enabled>
      <update_from_year>2010</update_from_year>
      <update_interval>1m</update_interval>
    </provider>

  </vulnerability-detector>

但是查看日志会发现一件事情，就是服务器拖取不到漏洞信息，因为这些信息都是外网IP，延迟比较大。

为了解决这个问题，我们可以使用离线版漏洞信息数据库，只需做个定时计划下载就可以。

创建一个存放漏洞信息数据库目录。

使用python脚本进行下载。

安全漏洞信息数据库如下：

重新更改配置文件内容，使用本地安全漏洞信息数据库。

一段时间之后，收到了安全漏洞告警的日志。

上一页8.1 命令内容监控

最后更新于