OSSEC Agent和Server无法连接的常用检查流程

若Agent和Server无法连接，下面是常用检查流程。

检查网络是否连通

ping serverIP
           

重启server和agent

sudo /var/ossec/bin/ossec-control restart
           

检查rids文件夹

OSSEC依赖rids文件夹实现同步。

server端/var/ossec/queue/rids 文件夹下应该保存有每个agent ID号同名的文件。

假如有两台agent（ID分别为001、002）同时连接成功，那么文件目录应为：

[email protected]:/var/ossec/queue/rids# ls
001  002  sender_counter
           

若一直没有对应文件，那么就把server端rids文件夹清空再重启server、agent：

sudo rm /var/ossec/queue/rids/*
sudo /var/ossec/bin/ossec-control restart
           

用agent_control -l命令，查看agent列表，均已正常连接：

[email protected]:/var/ossec/queue/rids# sudo /var/ossec/bin/agent_control -l

OSSEC HIDS agent_control. List of available agents:
   ID: 000, Name: ubuntu (server), IP: 127.0.0.1, Active/Local
   ID: 001, Name: a1, IP: 172.16.252.133, Active
   ID: 002, Name: winA, IP: 172.16.252.131, Active
           

检查log

检查ossec.log看是否有报错。

• linux：

sudo vim /var/ossec/logs/ossec.log
           

• win：

打开Agent Manager图形界面—菜单栏View—View Logs

ossec-remoted(1403)错误

server的log出现下面错误：

大多是验证秘钥问题，agent key、ip等与server记录的不匹配。

解决方法：

1. server端清空rids文件夹重启

sudo rm /var/ossec/queue/rids/*
sudo /var/ossec/bin/ossec-control restart
           

或：

1. 重新生成agent，重新导入key