OSSEC Agent和Server無法連接的常用檢查流程

若Agent和Server無法連接，下面是常用檢查流程。

檢查網絡是否連通

ping serverIP

重啓server和agent

sudo /var/ossec/bin/ossec-control restart

檢查rids文件夾

OSSEC依賴rids文件夾實現同步。

server端/var/ossec/queue/rids 文件夾下應該保存有每個agent ID號同名的文件。

假如有兩臺agent（ID分別爲001、002）同時連接成功，那麼文件目錄應爲：

root@ubuntu:/var/ossec/queue/rids# ls
001  002  sender_counter

若一直沒有對應文件，那麼就把server端rids文件夾清空再重啓server、agent：

sudo rm /var/ossec/queue/rids/*
sudo /var/ossec/bin/ossec-control restart

用agent_control -l命令，查看agent列表，均已正常連接：

root@ubuntu:/var/ossec/queue/rids# sudo /var/ossec/bin/agent_control -l

OSSEC HIDS agent_control. List of available agents:
   ID: 000, Name: ubuntu (server), IP: 127.0.0.1, Active/Local
   ID: 001, Name: a1, IP: 172.16.252.133, Active
   ID: 002, Name: winA, IP: 172.16.252.131, Active

檢查log

檢查ossec.log看是否有報錯。

• linux：

sudo vim /var/ossec/logs/ossec.log

• win：

打開Agent Manager圖形界面—菜單欄View—View Logs

ossec-remoted(1403)錯誤

server的log出現下面錯誤：

ossec-remoted(1403): ERROR: Incorrectly formatted message from '172.16.252.133'

大多是驗證祕鑰問題，agent key、ip等與server記錄的不匹配。

解決方法：

1. server端清空rids文件夾重啓

sudo rm /var/ossec/queue/rids/*
sudo /var/ossec/bin/ossec-control restart

或：

2. 重新生成agent，重新導入key