☰

ossec (サーバーエージェント) モデルからのアラートの生成

tag-icon • tag-icon ubuntu ossec
ossec (サーバーエージェント) モデルからのアラートの生成

私は OSSEC の初心者です。サーバー エージェント モデルを使用しています。次のアクション (エージェント側) に対してアラートを生成したいと考えています。

1) ログの削除に関するサンプルアラート

ossec.confエージェントのタグを使用してこれらのルールを追加しました<localfile>。次のようになります。

  <localfile>
    <log_format>syslog</log_format>
    <location>/var/log/syslog</location>
  </localfile>

私のサーバーの ossec.conf に次の内容を追加しました:

<global>
    <email_notification>yes</email_notification>
    <email_to>xxxx@xxxxxx</email_to>
    <smtp_server>smtp.gmail.com</smtp_server>
    <email_from>xxxx@xxx</email_from>
  </global>

そして、サーバーを再起動しました。今度は、 を使用してエージェントの syslog ファイルを削除しようとしましたrm syslog。しかし、アラートはトリガーされませんでした。

どこで間違いを犯しているのでしょうか?

答え1

localfileは異なるsyscheck。

を開くと/var/ossec/rules/syslog_rules.xml、不適切な単語のリストが表示されます。

<var name="BAD_WORDS">core_dumped|failure|error|attack|bad |illegal |denied|refused|unauthorized|fatal|failed|Segmentation Fault|Corrupted|unresolved|Down</var>

使用ロガーシステム ログにエントリを作成するコマンド:

$ logger connection failed

このメッセージは次の場所で確認できます/var/log/syslog:

Aug 28 17:12:41 ubuntu quanta: connection failed

次の内容のメールが届きます:

OSSEC HIDS Notification.
2012 Aug 28 17:12:32

Received From: (Nagios_Slave_6.142) 192.168.6.142->/var/log/messages
Rule: 1002 fired (level 2) -> "Unknown problem somewhere in the system."
Portion of the log(s):

    Aug 28 17:12:21 ubuntu quanta: connection failed



 --END OF NOTIFICATION

関連情報