使用 OSSEC 检查码头工人中的文件完整性

Question

OSSEC可以用来检查docker内部的文件吗？据我所知，OSSEC只能监视主机的文件完整性。

Answer 1

是的，您可以配置 OSSEC 或 Wazuh 代理以在 docker 容器中执行文件完整性监控。

Docker 使用 OverlayFS 存储驱动程序，将容器的文件结构放在/var/lib/docker/overlay2/目录中(或旧版本中/var/lib/docker/overlay/(，更多信息可以在这里找到：https://docs.docker.com/storage/storagedriver/overlayfs-driver/

要确定要监视的容器的文件夹，可以使用 inspect 命令：docker inspect <container-name> | grep MergedDir，然后配置 OSSEC 或 Wazuh 来监视此路径。

例如，假设您有一个nginx容器，并且想要监视其配置文件：

第一步是确定容器的文件夹：

# docker inspect docker-nginx | grep MergedDir
"MergedDir": "/var/lib/docker/overlay2/4f38dc4ff95f934ad368ca2770e7641f5cd492c289d2fd717fee22bda60b3560/merged"

然后在OSSEC或Wazuh代理的ossec.conf文件中添加要监视的目录：

<syscheck>
<directories check_all="yes" realtime="yes" restrict="*.conf">/var/lib/docker/overlay2/4f38dc4ff95f934ad368ca2770e7641f5cd492c289d2fd717fee22bda60b3560/merged/etc/nginx/</directories>
</syscheck>

有关如何配置文件完整性监控的详细说明，请参阅：https://documentation.wazuh.com/3.13/user-manual/capabilities/file-integrity/fim-configuration.html

如果您还想监视 docker 服务器活动，可以使用 Wazuh docker 模块：https://documentation.wazuh.com/3.13/docker-monitor/monitoring_containers_activity.html

此致敬意

桑德拉。