Подавить электронную почту OSSEC для неудачного root ssh

Question

Подавить электронную почту OSSEC для неудачного root ssh

Я использую OSSEC в качестве HIDS на сервере Ubuntu 12.10, и он регулярно (3-4 раза в день) отправляет мне такое уведомление: (обратите внимание, что последний октет IP-адреса был изменен на 'xxx', чтобы защитить виновный)

OSSEC HIDS Notification.
2013 Nov 21 15:10:43

Received From: localhost->/var/log/auth.log
Rule: 2502 fired (level 10) -> "User missed the password more than one time"
Portion of the log(s):

Nov 21 15:10:41 localhost sshd[3594]: PAM 5 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=61.147.74.xxx user=root

--END OF NOTIFICATION

Я единственный (законный) пользователь на сервере, и у меня есть PermitRootLogin no установить в моем /etc/ssh/sshd_config, Поэтому отправлять мне оповещения каждый раз, когда кому-то не удается войти в систему с правами root, бессмысленно.

Я нашел, где правило 2502 OSSEC определено в /var/ossec/rules/syslog_rules.xml как:

  <rule id="2502" level="10">
    <match>more authentication failures;|REPEATED login failures</match>
    <description>User missed the password more than one time</description>
    <group>authentication_failed,</group>
  </rule>

Я бы предпочел вообще не отключать это правило, так как было бы очень полезно узнать, есть ли попытки входа в систему, которые не соответствуют моему имени пользователя. Мне просто нужно, чтобы я не отправлял мне электронное письмо, когда речь идет о пользователе root.

3

ubuntu authentication ossec ubuntu-12.10

Источник

tkrajcar 21 ноя '13 в 23:37

1 ответ

Решение

Другие вопросы по тегам ubuntu authentication ossec ubuntu-12.10

Ketola 22 ноя '13 в 09:01 2013-11-22 09:01 · Accepted Answer · 2013-11-22 09:01

Добавьте следующее в ваш ´/var/ossec/rules/local_rules.xml`.

<rule id="100001" level="10">
  <if_sid>2502</if_sid>
  <description>Suppress email from failed login attempts</description>
  <options>no_email_alert</options>
</rule>

Таким образом, электронное письмо от оповещения не отправляется (<options>no_email_alert</options>) но он все еще отмечен на уровне 10 и вызывает соответствующий активный ответ.