Генерация оповещений по модели ossec (сервер-агент)

Я очень новичок в OSSEC. Я использую модель сервера-агента. Я хочу создать оповещение для следующих действий (на стороне агента):

1) Пример оповещения об удалении логов

Я добавил правила для них в агентских ossec.conf с помощью <localfile> теги. Как это:

  <localfile>
    <log_format>syslog</log_format>
    <location>/var/log/syslog</location>
  </localfile>

В моем сервере ossec.conf. Я добавил следующее:

<global>
    <email_notification>yes</email_notification>
    <email_to>xxxx@xxxxxx</email_to>
    <smtp_server>smtp.gmail.com</smtp_server>
    <email_from>xxxx@xxx</email_from>
  </global>

И я перезапустил свой сервер. Теперь я попытался удалить файл системного журнала агентов с помощью rm syslog, Но никаких предупреждений не было.

Где я совершаю ошибку?

Источник

1 ответ

Решение

localfile отличается от syscheck,

Открой /var/ossec/rules/syslog_rules.xml, вы увидите список плохих слов:

<var name="BAD_WORDS">core_dumped|failure|error|attack|bad |illegal |denied|refused|unauthorized|fatal|failed|Segmentation Fault|Corrupted|unresolved|Down</var>

Использование команды logger для создания записи в системном журнале:

$ logger connection failed

Вы можете увидеть это сообщение в /var/log/syslog:

Aug 28 17:12:41 ubuntu quanta: connection failed

и получите письмо со следующим содержанием:

OSSEC HIDS Notification.
2012 Aug 28 17:12:32

Received From: (Nagios_Slave_6.142) 192.168.6.142->/var/log/messages
Rule: 1002 fired (level 2) -> "Unknown problem somewhere in the system."
Portion of the log(s):

    Aug 28 17:12:21 ubuntu quanta: connection failed



 --END OF NOTIFICATION
Источник
Другие вопросы по тегам