OSSEC Agent和Server无法连接的常用检查流程

最新推荐文章于 2023-09-10 22:36:26 发布

原创最新推荐文章于 2023-09-10 22:36:26 发布 · 2.4k 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#ossec #agent #server #连接 #win

网络安全专栏收录该内容

9 篇文章

订阅专栏

当OSSEC Agent与Server无法连接时，可以遵循以下检查步骤：1. 确保网络通畅；2. 重启Server和Agent；3. 查看Server端的rids文件夹，确保对应Agent ID的文件存在；4. 检查ossec.log日志，尤其是ossec-remoted(1403)错误，这通常涉及秘钥验证问题。解决方法包括清理并重启rids文件夹，或者重新生成和导入Agent的key。

若Agent和Server无法连接，下面是常用检查流程。

检查网络是否连通

ping serverIP

重启server和agent

sudo /var/ossec/bin/ossec-control restart

检查rids文件夹

OSSEC依赖rids文件夹实现同步。

server端/var/ossec/queue/rids 文件夹下应该保存有每个agent ID号同名的文件。

假如有两台agent（ID分别为001、002）同时连接成功，那么文件目录应为：

root@ubuntu:/var/ossec/queue/rids# ls
001  002  sender_counter

若一直没有对应文件，那么就把server端rids文件夹清空再重启server、agent：

sudo rm /var/ossec/queue/rids/*
sudo /var/ossec/bin/ossec-control restart

用agent_control -l命令，查看agent列表，均已正常连接：

root@ubuntu:/var/ossec/queue/rids# sudo /var/ossec/bin/agent_control -l

OSSEC HIDS agent_control. List of available agents:
   ID: 000, Name: ubuntu (server), IP: 127.0.0.1, Active/Local
   ID: 001, Name: a1, IP: 172.16.252.133, Active
   ID: 002, Name: winA, IP: 172.16.252.131, Active

检查log

检查ossec.log看是否有报错。

linux：

sudo vim /var/ossec/logs/ossec.log

win：

打开Agent Manager图形界面—菜单栏View—View Logs
win客户端配置

ossec-remoted(1403)错误

server的log出现下面错误：

ossec-remoted(1403): ERROR: Incorrectly formatted message from '172.16.252.133'

大多是验证秘钥问题，agent key、ip等与server记录的不匹配。

解决方法：

server端清空rids文件夹重启

sudo rm /var/ossec/queue/rids/*
sudo /var/ossec/bin/ossec-control restart

或：

重新生成agent，重新导入key