У меня установлен OSSEC 2.94 и я работаю на CentOS7. У меня есть отправка электронных писем при определенных условиях предупреждения. Кажется, что все работает правильно, что касается отправки предупреждений. Однако каждую ночь в рамках процесса резервного копирования один сервер scp передает файл другому серверу. Таким образом, каждое утро я получаю оповещение об этом логине.
В течение нескольких дней я безуспешно пытался игнорировать это предупреждение. Это означает, что нужно написать правило OSSEC, чтобы не отправлять оповещение при ожидаемом входе в систему.
Предупреждение, которое я пытаюсь игнорировать:
** Alert 1535623261.244876: mail - pam,syslog,authentication_success,
2018 Aug 30 10:01:01 (myserver.mydomain.com) my.public.ip.addy ->/var/log/secure
Rule: 5501 (level 5) -> 'Login session opened.'
Aug 30 09:59:50 myhostname sshd[1611]: pam_unix(sshd:session): session opened for user dbBackupUser by (uid=10)
Я пытался написать правила в /var/ossec/rules/local_rules.xml, например:
<group name="pam,syslog,authentication_success,">
<rule id="104040" level="0">
<if_sid>5501</if_sid>
<user>dbBackupUser</user>
<options>no_email_alert</options>
<description>Attempt to ignore sshd logins by dbBackupUser.</description>
</rule>
</group> <!-- pam,syslog,authentication_success, -->
... Я перепробовал множество вариантов этого правила. Это только один пример.
Может ли кто-нибудь указать мне на то, что я делаю неправильно?
Я использовал этот пример в качестве основы:
<!-- This example will ignore failed ssh logins for the user name XYZABC.
-->
<!--
<rule id="100020" level="0">
<if_sid>5711</if_sid>
<user>XYZABC</user>
<description>Example of rule that will ignore sshd </description>
<description>failed logins for user XYZABC.</description>
</rule>
-->
В конечном итоге я хотел бы, чтобы правило игнорирования проверяло IP-адрес src, а также имя пользователя, но я еще не смог заставить его работать.
Спасибо!
Я работал над чем-то подобным и обнаружил, что пользователь не улавливает мой декодер. В итоге я переключился на использование спички.
Если вы запустите запись в журнале через ossec-logtest, вы сможете увидеть, настроен ли пользователь на что-нибудь.