Implementação em larga escala do OSSEC

Question

Temos um data center e, como um usuário feliz do OSSEC , estou tentando convencer meu gerenciamento a usá-lo para a detecção de invasões do host . No entanto, nunca o implantei em mais de um punhado de servidores e não tenho certeza se ele é dimensionável.

Alguém implantou o OSSEC em grande escala (digamos, mais de 500 servidores)? Escala?

    

Answer 1

Eu ajudo a gerenciar uma implantação existente de agentes 3300+ usando um único servidor OSSEC que gera ~ 300k alertas a cada 24 horas.

No newsgroup da OSSEC e nas comunicações diretas, conheço várias instalações do OSSEC que vão muito além de 6000 agentes (geralmente configurados usando vários servidores OSSEC).

As coisas que fizemos ajudaram:

• use ossec-authd link
• aumenta o número máximo de agentes + limites do sistema (por instruções no parte inferior do link )
• modificado ./src/addagent/validate.c (linha 60, altere 4000 a 9000 - para permitir mais IDs de agente)
• use um arquivo preloaded-vars.conf personalizado
• instalação binária de configuração link
• usa o fantoche para automatizar instalações, registro de agente (confira link )

Answer 2

A discussão sobre lista OSSEC diz que, com uma recompilação, uma O servidor pode hospedar toneladas de agentes (o cartaz lá, que eu acredito ser o fundador do OSSEC, diz que ele tentou 2048).