安装了 OSSEC 的 aws 自动缩放 AMI答案

【问题标题】：aws autoscaling AMI with OSSEC installed安装了 OSSEC 的 aws 自动缩放 AMI
【发布时间】：2020-12-27 15:05:45
【问题描述】：

所以我们用我们自己的 ami 创建了一个自动缩放组，该 ami 有一个服务器和一个自动 ossec 服务，它向 slack 通道报告，问题是当一个新实例启动时，ossec 发送很多因为文件签名不同而发出警报，这没关系，因为当启动新实例时，它会在新卷中重新创建 ami。

现在我如何在这些 ami 中安装 ossec，但是当启动一个新实例时，文件中的所有警报都没有更改。

我尝试在启动新实例时重新启动 ossec 服务，但它具有相同的行为，ossec 发送所有文件已更改的警报。

【问题讨论】：

标签： amazon-ec2 autoscaling ossec

【解决方案1】：

由于您的 AMI 中包含您的 ossec 代理，我认为不可能在第一次启动时停止这些警报，因为正如您所说，这只是 ossec 在识别任何更改时所做的事情，所以我建议不要在映像中包含 ossec 代理，但也可以在自动缩放组创建新实例时使用用户数据安装它，这可能会导致启动实例的额外时间，但它可能会解决您的问题。

【讨论】：

感谢您的快速回答，是的，我考虑过这一点，所以我应该安装 ossec 的实例已启动并运行，您有这样做的示例吗？或者一个代码片段，我应该怎么做，使用代码部署或其他东西？
此链接可能已满：hensonsecuritytools.wordpress.com/2018/04/19/…
是的，如果你有服务器，我有自动托管服务，所以你安装服务并获取配置并开始报告，我只是在创建实例时尝试使用用户数据字段一个 ami，同时使用 /var/ossec/bin/ossec-control restart 和 /var/ossec/bin/ossec-control stop start 但什么也没用，ossec 在加载 EFS 时仍然发送错误

【解决方案2】：

解决此问题的一种方法是使用 cronjob 或 systemd 重新启动或启动混合 OSSEC 进程。

在我的例子中，我们决定将文件夹添加到例外中，这样 OSSEC 就不会扫描这些文件夹。

【讨论】：

【解决方案3】：

最近几天我一直在努力在 AWS 的黄金朋友下实施 ossec，由于每次创建 ec2 实例时都会生成文件更改警报，这一直是一个巨大的痛苦。

这里有两个要点：

ec2 是使用 cloud init 创建的。我必须创建一个新的在 cloud-final.service 之后启动 ossec 服务的 systemd 模板：

              [Unit]
              Description=OSSEC
              After=network.target cloud-final.service
              After=multi-user.target

              [Service]
              Type=forking
              ExecStart=/var/ossec/bin/ossec-control start
              ExecStop=/var/ossec/bin/ossec-control stop
              ExecReload=/var/ossec/bin/ossec-control restart

              Restart=always

              [Install]
              WantedBy=multi-user.target

OSSEC 使用队列工作。你必须确保此刻你是生成 ami ossec 服务已停止，以下目录已清理：

/var/ossec/queue/diff/local/*
/var/ossec/queue/syscheck/*
/var/ossec/logs/alerts/*

我必须付出很大的努力才能实现这一目标。所以我希望我在这篇文章中的回答对未来有所帮助

【讨论】：