以VirtualBox安裝OSSIM

7月 21, 2011 電腦軟體 , 網路管理 , Linux , OS/Linux , OSSIM , Virtual Machine/VirtualBox , VirtualBox 2 Comments Edit Copy Download

Alienvault Open Soucre SIM（簡稱為OOSIM）是一個網路設備掃描、管理工具，類似我之前介紹的Spiceworks，而且是開放原始碼的軟體。OOSIM是一個整合平台，他結合了多種網管工具，包括知名的Nagios，還有知識管理的工具，詳細介紹可以看張百川的介紹。

我現在才在剛開始評估OSSIM，弄了好久才用VirtualBox把OSSIM才架設起來。這一篇就簡單記錄一下安裝過程，描述我安裝時發現硬碟分割的選項，以及如何讓OSSIM可以透過VirtualBox的NAT來運作，而不需要給予獨立IP的設定。

安裝環境

OSSIM 2.3.1（32位元）

OSSIM是一個Debain的Linux發行版，必須以光碟安裝成一個完整的作業系統。OSSIM網站可以下載到32位元跟64位元的ISO光碟映像檔。我下載的是32位元的2.3.1版本，ISO檔案大小為690MB。

VirtualBox Version 3.0.8 r53138

VirtualBox由Sun發展的自由軟體，他部分是開放原始碼方式發行。目前被Orcale採購，冠以Orcale VirtualBox的名稱。跟其他的虛擬機器相比，VirtualBox適合初學者、新手、臨時建立虛擬機器之用，相當容易上手，但是長期運作跟大量虛擬機器管理就不是很好用。

我使用的VirtualBox是Sun在被Orcale採購之前的版本，不過我想自3版之後的差異應該不大，請下載最新版本來安裝即可。安裝VirtualBox的作業系統是Windows 2003。

安裝步驟中我參考了張百川的OSSIM安裝介紹，不過他使用的是VMware，而且網路設定方式也是固定IP（儘管是區域網路IP），在VirtualBox的安裝中稍微有點有些不一樣。

我先從VirtualBox建立虛擬機器開始介紹，然後將OSSIM安裝中的選項記錄一下。

1. VirtualBox設定

1-1. 建立虛擬機器

在開始安裝OSSIM之前，我們要在VirtualBox建立一個安裝它的虛擬機器。

VirtualBox建立虛擬機器的方式很簡單，可以透過精靈來完成，我的設定請看上圖。以下我只講重要的一些細節：

• 虛擬機器類型為Debian
• 虛擬硬碟大小至少20GB以上：OSSIM初始安裝完的大小約3GB，quzaldon使用了一個月之後大概佔用了20GB。請使用動態延伸儲存方式（Dynamically expanding storage）的VDI格式吧。
• 網路卡設為PCnet-FAST III (NAT)：NAT模式是用DHCP分配IP給OSSIM，省下還要給OSSIM配給IP的麻煩。
• 記憶體：我設定的是1024MB，Hinky說他配了1.5GB都還不夠用，不過我想至少設個256MB左右就能順利安裝了。
• 光碟機設定映像檔alienvault_ossim_32bits_2.3.1.iso：VirtualBox可以用映像檔當做虛擬機器的光碟機，而不需要燒成實體光碟。
• 關閉音效：因為用不到。

1-2. VirtualBox設定NAT的連接埠轉遞

NAT模式儘管不需要配給OSSIM一個IP，但是也沒辦法讓外界連線到OSSIM。還好VirtualBox可以使用連接埠轉遞機制（port forwarding）來讓外界可以連線到OSSIM的管理介面。

詳細的VirtualBox連接埠轉遞機制可以看我之前的介紹，在此主要要給OSSIM開放轉遞的連接埠有兩個：

• 80：OSSIM管理介面。我設定成外面是由61080來連線。
• 22：OSSIM的SSH指令列管理。我設定成外面是由61022來連線。

你也可以直接在VirtualBox的虛擬機器設定檔中，在<ExtraData>標籤裡面直接加入以下紅字設定：

<ExtraData>
    <!-- 其他設定 -->
    <ExtraDataItem name="VBoxInternal/Devices/pcnet/0/LUN#0/Config/http/Protocol" value="TCP"/>
    <ExtraDataItem name="VBoxInternal/Devices/pcnet/0/LUN#0/Config/http/GuestPort" value="80"/>
    <ExtraDataItem name="VBoxInternal/Devices/pcnet/0/LUN#0/Config/http/HostPort" value="61080"/>
    <ExtraDataItem name="VBoxInternal/Devices/pcnet/0/LUN#0/Config/ssh/Protocol" value="TCP"/>
    <ExtraDataItem name="VBoxInternal/Devices/pcnet/0/LUN#0/Config/ssh/GuestPort" value="22"/>
    <ExtraDataItem name="VBoxInternal/Devices/pcnet/0/LUN#0/Config/ssh/HostPort" value="61022"/>
</ExtraData>

設定連接埠轉遞的時候，虛擬機器必須關閉，最好連整個VirtualBox都關掉喔。

2. OSSIM安裝

OSSIM的安裝方式是以精靈的方式提供安裝指導，操作起來應該算是很簡單，大部分都按「contiune」就能繼續安裝。以下我只講一些需要注意的選項。

2-1. 選擇「Unattended installation」（無人職守安裝）

開機進入OSSIM的光碟選單之後就會有三個選項，請選擇第一個「Alienvault Ossim 2.3.1 (32 bit) Unattended installation」選項，按enter進入。

2-2. 設定網路

OSSIM的安裝步驟中沒有提供DHCP設定，必須要現在給予他網路設定。遺憾的是我並不知道VirtualBox的NAT模式到底是給了OSSIM什麼IP，所以這邊我是根據之前的經驗來設定：

• IP: 10.0.2.2
• Netmask: 255.255.255.0（OSSIM自動配置）
• Gateway: 10.0.2.1 （OSSIM自動配置）
• Name Server address: 10.0.2.1 （OSSIM自動配置）

這樣子的設定是無法透過VirtualBox連到網際網路，稍後安裝完成之後我們可以再把它設定成DHCP的連線，以適應VirtualBox的NAT模式。

2-3. 硬碟分割成LVM

接著OSSIM會要求配置硬碟分割。在此我選擇第二個選項「Guide - use entire disk and set up LVM」，這樣子安裝完之後才能順利啟動。

張百川是選擇「Guide - use entire disk」，我一開始也是用這種方式安裝，但安裝完成開機之後卻無法正常啟動。

然後選擇要安裝的硬碟。這一顆是剛剛在建立VirtualBox虛擬機器時一併建立的虛擬硬碟。

OSSIM會要你確認硬碟分割的設定，選擇「Yes」，然後按「Continue」，並進入漫長的硬碟分割與安裝程序。

2-4. 設定root密碼

接著OSSIM會要求你設定root的密碼。這個密碼與實際上使用OSSIM管理介面時使用的密碼並不相同，是管理整個OSSIM伺服器的密碼。

填入兩次相同的密碼之後，再按「Continue」繼續。

2-5. 不要更新

OSSIM會問你要不要確認更新。這個動作需要網路連線，但目前我們的網路並沒有正確的設定，所以在此請選擇「NO」不更新，然後按「Continue」進入最後的設定過程。

未來如果要更新OSSIM更新的話，可以再安裝完成的OSSIM伺服器的指令列模式中輸入「ossim-update」指令來更新即可。

最後再經過一個確認畫面，OSSIM就安裝完成，並直接重開機進入OSSIM作業系統。

3. OSSIM網路設定

進入OSSIM作業系統之後會是Linux的命令列。

因為網路並沒有設定好，所以不時會出現以下錯誤訊息：

* Starting Network Intrusion Detection System  snort_eth0
  ...done.

請先不用理會它，讓我們先登入、設定網路吧。

3-1. root登入

請在登入訊息中輸入「root」，按下enter，然後再輸入你剛剛設定的密碼。

如果順利登入的話，就會出現像上圖一樣的訊息。

3-2. 修改網路設定

接著是來將OSSIM的網路改成DHCP設定。請輸入以下指令開啟網路設定的檔案：

opensourcesim:~# vim /etc/network/interfaces

這邊使用的是VIM編輯器。如果你不太熟VIM怎麼使用，請參考鳥哥的VIM介紹。

我將原始的靜態網路設定註解掉，然後加入DHCP的設定。最後的設定檔如下，注意紅字的部份：

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
allow-hotplug eth0
#iface eth0 inet static
#       address 140.119.61.252
#       netmask 255.255.255.0
#       network 140.119.61.252
#       broadcast 140.119.61.255
#       gateway 140.119.61.254
#       # dns-* options are implemented by the resolvconf package, if installed
#       dns-nameservers 140.119.1.110
#       dns-search alienvault

# DHCP configuration
auto eth0
iface eth0 inet dhcp

編輯完之後，儲存後離開設定檔即可。

3-3. 重新啟動網路

編輯完網路設定檔之後，還要重新啟動網路才能生效。

重新啟動網路的指令如下：

opensourcesim:~# /etc/init.d/networking restart

順利的話會出現以下訊息：

* Reconfiguring network interfaces...                                                                There is already a pid file /var/run/dhclient.eth0.pid with pid 1657
illed old client process, removed PID file
nternet Systems Consortium DHCP Client V3.1.1
opyright 2004-2008 Internet Systems Consortium.
ll rights reserved.
or info, please visit http://www.isc.org/sw/dhcp/

istening on LPF/eth0/08:00:27:4f:6b:e2
ending on   LPF/eth0/08:00:27:4f:6b:e2
ending on   Socket/fallback
HCPRELEASE on eth0 to 10.0.2.2 port 67
nternet Systems Consortium DHCP Client V3.1.1
opyright 2004-2008 Internet Systems Consortium.
ll rights reserved.
or info, please visit http://www.isc.org/sw/dhcp/

istening on LPF/eth0/08:00:27:4f:6b:e2
ending on   LPF/eth0/08:00:27:4f:6b:e2
ending on   Socket/fallback
HCPDISCOVER on eth0 to 255.255.255.255 port 67 interval 7
HCPOFFER from 10.0.2.2
HCPREQUEST on eth0 to 255.255.255.255 port 67
HCPACK from 10.0.2.2
ound to 10.0.2.15 -- renewal in 40340 seconds.
                                                                        [ OK ]

3-4. 重新啟動OSSIM伺服器

設定網路之後，為了確保OSSIM順利運作，最後再來重新啟動OSSIM伺服器。重新啟動的指令如下：

opensourcesim:~# reboot

3-5. 更新OSSIM

在安裝步驟因為沒有設定好網路連線，所以無法進行更新。現在設定好網路連線之後，我們就可以來幫OSSIM更新了。更新的指令如下：

opensourcesim:~# ossim-update

在更新的過程中OSSIM會要你確認許多資料。根據OSSIM的統計，要先下載292MB的資料來準備更新，更新之後會額外安裝27MB的檔案，因此整個更新要花上非常長的一段時間。

4. 登入OSSIM管理介面

4-1. 開啟OSSIM管理介面

OSSIM的管理介面可以直接用HTTP連線開啟它的網頁。預設是使用瀏覽器輸入OSSIM的IP，就能夠打開它的管理介面。但是由於我們是使用VirtualBox的NAT模式，並設定了連接埠轉遞，將80轉成61080，所以實際上要加上轉遞過的連接埠。

舉例來說，假如我現在的IP是「140.119.61.254」，而我以連接埠轉遞設定61080轉到OSSIM的80，那麼連線網址就是「http://140.119.61.254:61080」。

4-2. 登入OSSIM

開啟後的畫面如下圖所示。

第一次登入時，請輸入以下資訊：

• User: admin
• Password: admin

然後按下「Login」登入。奇怪的是，OSSIM好像會用JavaScript幫我在密碼上動點手腳，不知道是不是我的錯覺。

4-3. 設定管理者密碼

第一次登入時OSSIM會要求我們設定密碼。請輸入兩次相同的密碼再繼續。

4-4. 進入OSSIM主介面

好，終於順利登入OSSIM了，接下來就可以開始使用OSSIM囉！

結語：不一定能順利安裝成功

因為寫這篇文章要截圖，所以我重灌了幾次OSSIM。但是最近一次重灌卻沒有辦法順利成功，儘管都是用一樣的設定方式，卻出現了硬碟找不到的錯誤訊息：

fsck.ext2: No such file or directory while trying to open /dev/hda1

雖然這不太像是數位檔案該有的行為，但可能安裝的時候也要有點運氣吧。

原本我在這篇寫了一些知識管理功能（Knowledge DB）的評估與討論，但是寫一寫覺得這樣會讓這篇文章太過雜亂，所以後來就讓這些討論獨立成一篇文章了。

不管怎麼說，光是這些東西就花了我一整天的時間，而且OSSIM的知識管理功能也沒有達到我希望的程度，不禁令人有種白費工夫的無奈感啊。