Я новичок в OSSEC. Я использую модель сервер-агент. Я хочу создать предупреждение для следующих действий (на стороне агента):
1) Образец оповещения о привязке журналов
Я добавил правила для них в агентском ossec.conf
с помощью <localfile>
теги. Как это :
<localfile>
<log_format>syslog</log_format>
<location>/var/log/syslog</location>
</localfile>
На моем сервере ossec.conf. Я добавил следующее:
<global>
<email_notification>yes</email_notification>
<email_to>xxxx@xxxxxx</email_to>
<smtp_server>smtp.gmail.com</smtp_server>
<email_from>xxxx@xxx</email_from>
</global>
И я перезапустил свой сервер. Теперь я попытался удалить файл системного журнала агентов, используя rm syslog
. Но никаких предупреждений не было.
Где я делаю ошибку?
localfile
отличается от syscheck
.
Открой /var/ossec/rules/syslog_rules.xml
, вы увидите список плохих слов:
<var name="BAD_WORDS">core_dumped|failure|error|attack|bad |illegal |denied|refused|unauthorized|fatal|failed|Segmentation Fault|Corrupted|unresolved|Down</var>
С помощью регистратор команда для создания записи в системном журнале:
$ logger connection failed
вы можете увидеть это сообщение в /var/log/syslog
:
Aug 28 17:12:41 ubuntu quanta: connection failed
и получите электронное письмо со следующим содержанием:
OSSEC HIDS Notification.
2012 Aug 28 17:12:32
Received From: (Nagios_Slave_6.142) 192.168.6.142->/var/log/messages
Rule: 1002 fired (level 2) -> "Unknown problem somewhere in the system."
Portion of the log(s):
Aug 28 17:12:21 ubuntu quanta: connection failed
--END OF NOTIFICATION