OSSEC: file-integrity monitoring ... on logs

Нашёл следующее:

http://www.mail-archive.com/ossec-list@googlegroups.com/msg04373.html

I don't think PCI requires that. Can you point where it says that? In addition to that, I don't think there is any tool that can guarantee the integrity of a log file (specially via syslog)...

http://www.ossec.net/main/ossecteam

Daniel B. Cid – Lead developer and founder of the project

Т.е. разработчик высказывал сомнение, что DSS это требует, а не подсказал конкретное решение. Было это 2,5 года назад, но больше ничего нагуглить не удалось

думается мне, что целостность логов может быть достигнута путем одновременной их записи на два или три устройства. далее, путем головования можно выяснить значения, вызывающие подозрения.

не имеется ли в виду целостность именно в том смысле, что злоумышленник не подменит их?

Целостность логов можно проверять многими разными способами.

Речь о том, что в документации OSSEC заявлена реализация требования 10.5.5 PCI DSS, а на деле ossec в умолчальной конфигурации кладёт на целостность логов, а найти документацию по настройке проверки целостности логов не удалось. logcheck и syscheck, судя по документации, этим не занимаются

Насколько мне известно «модификацией логов» в понятии OSSEC и других подобных контроллерах целостности, типа того же Samhain, считается если размер лог файла уменьшился с момента занесения его в базу файлов для мониторинга. То есть например можно модифицировать лог файл и при этом оставить тот же размер что до модификации или больше и тогда маячок уже не сработает.

В целом же логи как правило пишутся на удаленный лог сервер (это кстати тоже требование PCI DSS) банальным syslog'ом который не позволяет модифицировать уже отправленный лог. Самый простой способ это писать логи через «N» промежуток времени (например /var/log/$YEAR/$MONTH/$DAY/$HOST/$FACILITY) и обновлять базу OSSEC'а раз в сутки/час/как-угодно занося туда архивные логи - в итоге получится что в архивные логи никто писать уже ничего не будет и контроль целостности в данном случае соблюдается в полной мере.

>Насколько мне известно «модификацией логов» в понятии OSSEC и других подобных контроллерах целостности, типа того же Samhain, считается если размер лог файла уменьшился с момента занесения его в базу файлов для мониторинга.

Рандомно удалил 10% строк, никакой реакции.

Самый простой способ это писать логи через «N» промежуток времени (например /var/log/$YEAR/$MONTH/$DAY/$HOST/$FACILITY) и обновлять базу OSSEC'а раз в сутки/час/как-угодно занося туда архивные логи - в итоге получится что в архивные логи никто писать уже ничего не будет и контроль целостности в данном случае соблюдается в полной мере.

А это отличная идея, спасибо :) Про realtime проверку целостности ничего не сказано :)