System Konfiguration: config.xml

Transkript

1 System Konfiguration: config.xml Bruno Blumenthal und Roger Meyer 11. Dezember 2003 Zusammenfassung Dieser Konfigurations Guide beschreibt die Hauptkonfigurations Datei config.xml. Es werden alle Elemente erklärt und die möglichen Werte beschrieben. 1

2 Inhaltsverzeichnis 1 Einführung 4 2 main general pref name= logfile value= netwacs.log pref name= loglevel value= ALL pref name keystore value= config/netwacs.key pref name= keystore passwd value= netwacs pref name= server value= localhost pref name= server port value= oc tabin pref name= index value= pref name= class value= netwacs.oc2.ruleseditortabin pu notification pref name= enable value= true pref name= summary value= meyer1@hta-bi.bfh.ch pref name= alertmsg value= Alert message. \n time: $TIME \ndate: $DATE \npriority: $PRIO \nengine: $ENGINE \nrule ID: $RU- LEID \nalert: $ALERT pref name= summaryprio value= LOW pref name= summarytime value= pref name= to value= user@domain.ch, netwacs@domain.ch pref name= smtphost value= mail.domain.ch pref name= max time value= pref name= from value= NetWACS <user@domain.ch> pref name= send prio value= MEDIUM general

3 4.2.1 pref name= dbname value= alerts pref name= login value= alertsuser pref name= password value= mypassword pref name= host value= users user pref name= fullname value= Roger Meyer pref name= password value= Rice9HbI5ig+DzAdDpU9Tm7o= pref name= accesslevel value= dsu ds pref name= sid value= pref name= login value= snort pref name= password value= mypassword pref name= host value= pref name= class value= netwacs.datasource.snort cau engine pref name= dbname value= asset pref name= datasources value= syslog;snort pref name= login value= assetuser pref name= password value= mypassword pref name= host value= A Eine Beispiel XML Konfiguration 12 A.1 config.xml A.2 netwacs.dtd

4 1 Einführung config.xml ist die zentrale konfigurations Datei für das NetWACS System. Hier werden die Passwörter für die System Benutzer und die Datenbank Benutzer, die Konfiguration des Notification Services, der Engines und des Servers gespeichert. Es folgt nun die Beschreibung der einzelnen Elemente. 2 main Das main Element beinhaltet die Basis-Konfiguration des Systems. 2.1 general Der general Teil enthält Einstellungen für die Verbindung vom OC2 Client zum NetWACS Server pref name= logfile value= netwacs.log Die zentrale Logdatei; dort werden alle Meldungen des Systems geloggt pref name= loglevel value= ALL Das Loglevel gibt an, welcher Grad von Meldungen geloggt werden soll. Es gibt folgende Levels: ALL - alle Meldungen SEVERE (höchster Wert) WARNING INFO CONFIG FINE FINER FINEST (niedrigster Wert) 4

5 2.1.3 pref name keystore value= config/netwacs.key Die Datei wo der Keystore gespeichert werden soll pref name= keystore passwd value= netwacs Das Passwort um auf den Keystore zuzugreifen. Im Keystore werden die Keys für die verschlüsselte Verbindung vom Client zum Server gespeichert pref name= server value= localhost Gibt an, wo sich der Server befindet. Entweder ein Domainname oder eine IP Adresse pref name= server port value= 9999 Der Port auf welchem der Server horcht. Der OC2 Client wird auf diesen Port eine Verbindung aufbauen. 3 oc2 Das Element OC2 enthält die Konfiguration der Operation & Control Console. 3.1 tabin Parameter: name= RuleEditor Ein TabIn ist ein Tab in der OC2. Jedes TabIn hat eine spezielle Aufgabe, z.b. Regeln konfigurieren. Das Tabin Element hat ein Parameter name pref name= index value= 0 Der Index bestimmt die Reihenfolge der TabIns von links nach rechts und fängt bei 0 an pref name= class value= netwacs.oc2.ruleseditortabin Jedes TabIn kann mehrere Einstellungen enthalten, jedoch mindestens ein class Eintrag, welcher den Klassenname enthält. Diese Klasse wird dann beim Start der OC2 dynamisch geladen. 5

6 4 pu Das Element Presentation Unit enthält Einstellungen für die Präsentation/Darstellung der Alerts. 4.1 notification Das Notification Element konfiguriert den Notifi- Parameter: name= notification cation Manager pref name= enable value= true Der Notifcation Service kann mit diesem Flag an- oder abgestellt werden. Enable kann auf true oder false gesetzt werden, für an- respektive abstellen pref name= summary value= summary enthält eine oder mehrere mit Komma getrennte Adressen an welche die Summaries versendet werden pref name= alertmsg value= Alert message. \n time: $TIME \ndate: $DATE \npriority: $PRIO \nengine: $ENGINE \nrule ID: $RULEID \nalert: $ALERT Die Alert Message kann nach eigenen wünschen Angepasst werden. Diese wird gebraucht für die Alert Benachrichtigung per . Folgende Variablen werden ersetzt: $TIME - Zeit $DATE - Datum $PRIO - Priorität $ENGINE - Rule Engine die das Alert generiert hat $RULEID - Die Rule ID welche das Alert ausgelöst hat $ALERT - Die Alert Message Mit \n wird ein Zeilenumbruch und mit \t ein Tabulator eingefügt. 6

7 4.1.4 pref name= summaryprio value= LOW Die Summary Priorität ist eine der folgenden Prioritäten: ALL - alle Meldungen HIGH - nur Meldungen mit hoher Priorität MEDIUM - nur Meldungen mit mittlerer oder höherer Priorität LOW - Meldungen mit geringer oder höherer Priorität (entspricht ALL) Es werden alle Meldungen mit gewünschter Priorität gespeichert und im summary versendet pref name= summarytime value= 24 Die Summary Time ist ein Wert in Stunden. Alle soviele Stunden wird eine mit allen zusammengefassten Alerts versendet. Bsp: 24, d.h. alle 24 Stunden wird ein Summary erstellt pref name= to value= user@domain.ch, netwacs@domain.ch to sind die Empfänger Adressen (mehrere werden mit Komma getrennt). An diese Adressen werden die sofort Alerts geschickt pref name= smtphost value= mail.domain.ch Der Notification Service braucht ein SMTP Server um Mails zu versenden. Dieser muss für das NetWACS System als Mail Relay Agent konfiguriert sein damit er die s annimmt pref name= max time value= 3 Dieser Wert in Minuten beschreibt, dass maximal alle soviele Minuten ein Alert verschickt wird. Wenn in dieser Zeit mehrere Alerts ausgelöst werden, wird am Ende eine Zusammenfassung aller in der Zwischenzeit erhaltenen Alerts verschickt. Bsp. mit Wert 3: Das erste Alert wird sofort versendet. Wenn weitere Alerts innerhalb der nächsten 3 Minuten eintreffen, werden diese gespeichert und am Ende dieser 3 Minuten in einer Zusammenfassung versendet. Nun wird der Timer zurückgestellt, und wenn ein neues Alert eintrifft wird dieses wieder sofort verschickt. 7

8 4.1.9 pref name= from value= NetWACS Der from Eintrag wird in jedem Header als from: erscheinen pref name= send prio value= MEDIUM Hier kann Eingestellt werden, ab welcher Priorität die sofort s versendet werden sollen. Es sind folgende Prioritäten möglich: ALL - alle Meldungen HIGH - nur Meldungen mit hoher Priorität MEDIUM - nur Meldungen mit mittlerer oder höherer Priorität LOW - Meldungen mit geringer oder höherer Priorität (entspricht ALL) 4.2 general Die allgemeine Konfiguration der Presentation Unit pref name= dbname value= alerts Der Datenbank Name für die Alerts pref name= login value= alertsuser Der Benutzername für die Alerts Datenbank pref name= password value= mypassword Das Passwort für den Alerts DB Benutzer pref name= host value= Die IP Adresse oder Domain Name des Servers mit der Alerts Datenbank. 5 users Hier werden die Benutzer konfiguriert. 8

9 5.1 user Parameter: name= meyer1 Jedes Element beschreibt ein Benutzer. Der Name wird im Parameter name gesetzt. Die Beschreibung des Benutzers folgt in den Subelementen pref name= fullname value= Roger Meyer Der volle Name des Benutzers pref name= password value= Rice9HbI5ig+DzAdDpU9Tm7o= Das verschlüsselte Passwort. Dieses mit der OC2 verschlüsselt pref name= accesslevel value= 3 Das Zugangslevel dieses Benutzers. Es gibt folgende Levels: 7 - SysAdmin 3 - Operator 1 - Viewer 6 dsu Dieses Element beschreibt die Datasource Units. Je nach Datasource kann sie verschiedene Konfigurationsparameter enthalten. 6.1 ds Parameter: name= snort Jedes ds Element beschreibt eine Datasource. Der Name wird im Parameter name gesetzt pref name= sid value= 2 Die Snort Datasource hat eine Sensor ID. Snort kann mehrere Sensoren haben. Hier wird konfiguriert, auf welchen reagiert werden soll. 9

10 6.1.2 pref name= login value= snort Der Benutzername für die Snort Datasource pref name= password value= mypassword Das Passwort für den Snort Benutzer pref name= host value= Der Domainname oder IP Adresse des Servers mit der Snort Datenbank pref name= class value= netwacs.datasource.snort Der Klassenname der Snort Datasource. Diese wird beim Start dynamisch geladen. 7 cau Dieser Abschnitt beschreibt die Central Analysis Unit. 7.1 engine Parameter: name= AssetDBRule Hier werden die Rule Engines konfiguriert. Der Name der Engine wird mit dem Parameter name gesetzt. Je nach Engine kann es verschiedene Einträge geben pref name= dbname value= asset Der Datenbank Name für diese Rule Engine pref name= datasources value= syslog;snort Die gewünschten Datasources. Im Moment sind folgende Einträge möglich: all - alle Datasources syslog - die Syslog DS snort - die Snort DS Falls mehrere Datasources gewünscht werden, müssen diese mit ; getrennt werden. 10

11 7.1.3 pref name= login value= assetuser Der Benutzername für die Asset DB pref name= password value= mypassword Das Passwort für den Asset DB Benutzer pref name= host value= Der Domainname oder IP Adresse der Servers mit der AssetDB. 11

12 A Eine Beispiel XML Konfiguration A.1 config.xml <?xml version="1.0"?> <!DOCTYPE netwacs SYSTEM "netwacs.dtd"> <netwacs> <main> <general> <pref name="logfile" value="netwacs.log"/> <pref name="loglevel" value="all"/> <pref name="keystore" value="config/netwacs.key"/> <pref name="keystore_passwd" value="netwacs"/> <pref name="server" value="localhost"/> <pref name="server_port" value="9999"/> </general> </main> <oc2> <tabin name="alertviewer"> <pref name="index" value="0"/> <pref name="class" value="netwacs.oc2.alertviewertabin"/> </tabin> <tabin name="reporter"> <pref name="index" value="1"/> <pref name="class" value="netwacs.oc2.reportertabin"/> </tabin> <tabin name="notificationservice"> <pref name="index" value="2"/> <pref name="class" value="netwacs.oc2.notificationtabin"/> </tabin> <tabin name="ruleeditor"> <pref name="index" value="3"/> <pref name="class" value="netwacs.oc2.ruleseditortabin"/> </tabin> <tabin name="useradmin"> <pref name="index" value="4"/> <pref name="class" value="netwacs.oc2.useradmintabin"/> </tabin> </oc2> <pu> <notification name="notification"> <pref name="summary " <pref name="alertmsg" value= "This is an automated Alert message from the NetWACS System. 12

13 Please do not reply to this . \n \ntime:\t\t$time \ndate:\t\t$date \npriority:\t$prio \nengine:\t\t$engine \nrule ID:\t$RULEID \nalert:\t\t$alert \n \nthe NetWACS Project. <pref name="summaryprio" value="low"/> <pref name="summarytime" value="6"/> <pref name="to " <pref name="enable" value="true"/> <pref name="smtphost" value="mail.domain.ch"/> <pref name="max time" value="3"/> <pref name="from " value=" NetWACS <pref name="send prio" value="medium"/> </notification> <general> <pref name="dbname" value="alerts"/> <pref name="login" value="alertsuser"/> <pref name="password" value="mypassword"/> <pref name="host" value=" "/> </general> </pu> <users> <user name="meyer1"> <pref name="fullname" value="roger Meyer"/> <pref name="password" value="rice9hbi5ig+dzbaddnopu9tm7o="/> <pref name="accesslevel" value="3"/> </user> <user name="blusk"> <pref name="fullname" value="bruno Blumenthal"/> <pref name="password" value="rice9hbi5ig+dzbaddnopu9tm7o="/> <pref name="accesslevel" value="7"/> </user> <user name="myf"> <pref name="fullname" value="franz Meyer"/> <pref name="accesslevel" value="1"/> <pref name="password" value="rice9hbi5ig+dzbaddnopu9tm7o="/> </user> </users> <dsu> <ds name="syslog"> 13

14 <pref name="login" value="sysloguser"/> <pref name="password" value="mypassword"/> <pref name="host" value=" "/> <pref name="class" value="netwacs.datasource.syslog"/> <pref name="dbname" value="syslog"/> </ds> <ds name="snort"> <pref name="sid" value="2"/> <pref name="login" value="snort"/> <pref name="password" value="mypassword"/> <pref name="host" value=" "/> <pref name="dbname" value="snort_log"/> <pref name="class" value="netwacs.datasource.snort"/> </ds> </dsu> <cau> <engine name="anomalyrule"> <pref name="datasources" value="syslog"/> </engine> <engine name="assetdbrule"> <pref name="dbname" value="asset"/> <pref name="datasources" value="syslog;snort"/> <pref name="login" value="assetuser"/> <pref name="password" value="mypassword"/> <pref name="host" value=" "/> </engine> <engine name="repetitionrule"> <pref name="datasources" value="syslog;snort"/> </engine> </cau> </netwacs> A.2 netwacs.dtd <!ELEMENT netwacs (main users oc2 dsu cau pu )*> <!ELEMENT dsu (general*, ds+)> <!ELEMENT ds (general*, pref+)> <!ATTLIST ds name CDATA #REQUIRED> <!ELEMENT main (general+)> <!ELEMENT cau (general*, engine+)> <!ELEMENT engine (general*, pref+)> <!ATTLIST engine name CDATA #REQUIRED> <!ELEMENT users (user+)> <!ELEMENT user (pref+)> 14

15 <!ATTLIST user name ID #REQUIRED> <!ELEMENT oc2 (tabin+)> <!ELEMENT tabin (pref+)> <!ATTLIST tabin name ID #REQUIRED> <!ELEMENT general (pref+)> <!ELEMENT pref EMPTY> <!ATTLIST pref name CDATA #REQUIRED value CDATA #REQUIRED> <!ELEMENT pu ((general+, notification*) (notification*, general+))> <!ELEMENT notification (pref+)> <!ATTLIST notification name ID #REQUIRED> 15