Мы выяснили, что OSSEC / WAZUH отлично работает как HIDS с активным ответом, который обрабатывается после правил брандмауэра ProxMox. Мы выбираем аппаратное управление RAID10 для устройств хранения, поэтому ни ZFS, ни CephFS не подходят ни для узлов, ни для файловой системы кластерного хранилища.

Снова и снова интернет показывает, что это странное место, где люди ставят себя выше других, просто потому что считают себя лучше. Если почитать, что написал @JWW, кажется, что у него нет даже базовых знаний по многим вопросам, связанным с этой темой. @JWW, пожалуйста, покинь сообщество с таким отношением, ведь ты думаешь только о своих целях и поиске решения собственной проблемы. Кроме того, ты не можешь говорить от имени сообщества, ведь ты даже не являешься его частью (новичок). Таким поведением ты не делаешь ничего, кроме как вредит себе. Еще один вопрос: если ты профессионал, зачем прятаться за ником? Пожалуйста, не называй себя профессионалом, оскорбляя других в каждом своем сообщении. Спасибо.

Всем привет! Я не хочу раздувать эту тему, просто хочу поделиться некоторыми техническими моментами, так что будьте ко мне добры. Я старый пользователь ossec, и с моей точки зрения это хорошее дополнение к безопасности.

Для тех, кто не пользовался, пару мыслей:  
- можно использовать для Linux/Windows гостьевых систем и хостов;  
- есть множество хороших правил для обнаружения атак, можно создавать собственные правила;  
- можно настроить так, что будет блокироваться вредоносный трафик, который соответствует правилу ossec (каждое правило имеет вес от 1 до 15);  
- блокировать трафик можно через iptables, null route (или даже настраивать свои правила блокировки, если я правильно помню), или отправлять уведомления по e-mail;  
- используется архитектура сервер-агент с зашифрованным соединением, логи подписаны;  
- это стороннее приложение, где можно смотреть много информации по каждому агенту (через php) и отчёты;  
- самое главное — у ossec очень, очень, очень низкий уровень ложных срабатываний;  
- не нужны модули ядра, не важно, какая у вас дистрибуция Linux (я использовал на centos 5.x и debian 6.x).

Можно интегрировать ossec с любыми правилами iptables (например, как fail2ban). Я так делаю уже много лет.  
На мой взгляд, ossec очень полезен в кластере PMX (и для виртуальных машин, и для хостов). С начала следующего года хочу использовать активный ответ (блокировку плохого трафика), но без firewall/iptables, потому что iptables не умеет работать с многохостовой инфраструктурой. Это пустая трата ресурсов — блокировать один и тот же IP одновременно на многих хостах, да и сами правила iptables могут сильно разрастись.  

Поэтому вместо iptables я хочу использовать null route через OSPF (у меня сеть поддерживает OSPF). В этом случае, если IP заблокирован хоть на одном хосте/гостевой системе/устройстве, он будет заблокирован везде.  

Как я уже сказал, будьте добры, у меня очень слабый английский... но я хотел помочь другим с этим хорошим инструментом, и, может, кто-то ещё заинтересуется оссек.  

Suricata не умеет идентифицировать неизвестные атаки, а ossec в некоторых случаях (например, целостность файловой системы) это делает.  
HIDS — это не то же самое, что NIDS, но вместе они могут работать лучше, чем каждый по отдельности.  

P.S. Сейчас Рождество, так что всем нам стоит попробовать быть хорошими людьми в эти дни.