我们有一个数据中心，作为一个快乐操作系统安全评估中心用户我试图说服管理层使用它进行主机入侵检测。但是我从未在多台服务器上部署过它，而且我不确定它是否可扩展。
有谁部署过操作系统安全评估中心大规模 (例如 500+ 台服务器) ？ 可以扩展吗？
答案1
我帮助管理现有的 3300 多个代理的部署，使用一个每 24 小时生成约 300k 条警报的 OSSEC 服务器。
从 OSSEC 新闻组和直接通信中，我了解到有多个 OSSEC 安装远远超过 6000 个代理（通常使用多个 OSSEC 服务器进行配置）。
我们所做的事情有帮助：
- 使用 ossec-authdhttp://www.ossec.net/doc/programs/ossec-authd.html
- 增加代理的最大数量 + 系统限制（按照底部的说明http://www.ossec.net/doc/faq/unexpected.html#id8）
- 修改了 ./src/addagent/validate.c（第 60 行，将 4000 更改为 9000 – 以允许更多代理 ID）
- 使用自定义的 preloaded-vars.conf
- 设置二进制安装 http://www.ossec.net/doc/manual/installation/installation-binary.html
- 使用 puppet 自动化安装、代理注册（查看 http://projects.puppetlabs.com/projects/1/wiki/OSSEC-HIDS_Patterns）
答案2
讨论OSSEC 列表说，通过重新编译，服务器可以托管大量代理（那里的海报，我相信是 OSSEC 的创始人，说他已经尝试过 2048）。