OSSEC warnt: "Host-based anomaly detection event (rootcheck)."

[derschakal83]

Hallo,

ich habe - um meinen VServer noch etwas besser abzusichern - OSSEC installiert. Das funktioniert auch ganz wunderbar.

Ich erhalte allerdings immer mal wieder die E-Mail mit folgendem Inhalt:

OSSEC HIDS Notification.
2009 May 22 19:37:45

Received From: h123456->rootcheck
Rule: 510 fired (level 7) -> "Host-based anomaly detection event (rootcheck)."
Portion of the log(s):

Process '<Zahlenfolge>' hidden from /proc. Possible kernel level rootkit.

--END OF NOTIFICATION

Ich gehe mal stark davon aus, das hängt damit zusammen das es sich um einen virtuellen Server handelt. Hat jemand dasselbe Problem und weiß, wie man es beheben kann? Oder muss ich die Rootkit-Überwachung evtl. ganz abschalten..?

Diese Meldung hier find ich übrigens auch nett, kam auch mal mit den Mails ;-)

Excessive number of hidden processes. It maybe a false-positive or something really bad is going on.

Vielen Dank!

Gruß Tobias

 

[derschakal83]

ich hab mich auf der Homepage von OSSEC umgeschaut, und ich hab nun herausgefunden wie man die Benachrichtigung für bestimmte Regeln abschalten kann. Für alle die es auch interessiert:

nano /var/ossec/rules/local_rules.xml

einfügen, bzw. anpassen:
<!-- Meine Regeln -->
<rule id="100040" level="0">
<if_sid>502, 510, 1002</if_sid>
<description>All diese Regeln werden ignoriert</description>
</rule>

die Zahl bei "rule id" erhöht man einfach (Beispielregeln gibts ja schon, die Zahl einfach um 1 erhöhen). Unter "if_sid" trägt man die Regelnummer ein, die ignoriert werden sollen. Die gewünschte Nummer findet man dann entweder in den Status E-Mails, oder unter /var/ossec/rules/ENTSPRECHENDE-DATEI.xml

dann ein /etc/init.d/ossec restart -> das wars. Nun erhält man zu den angegebenen Regeln keine E-Mails mehr.

Gruß Tobias