☰

OSSEC Игнорировать оповещение

tag-icon • tag-icon ossec
OSSEC Игнорировать оповещение

У меня установлен и запущен OSSEC 2.94 на CentOS7. Он отправляет электронные письма при наличии соответствующих условий оповещения. Кажется, что все работает правильно в отношении отправки оповещений. Однако каждую ночь в рамках процесса резервного копирования один сервер отправляет файл на другой сервер. Таким образом, каждое утро я получаю оповещение об этом входе.

Я пытался, в течение нескольких дней, безуспешно, игнорировать это одно оповещение. То есть написать правило OSSEC, чтобы не отправлять оповещение при этом одном ожидаемом входе.

Предупреждение, которое я пытаюсь игнорировать, следующее:

** Alert 1535623261.244876: mail  - pam,syslog,authentication_success,
2018 Aug 30 10:01:01 (myserver.mydomain.com) my.public.ip.addy ->/var/log/secure
Rule: 5501 (level 5) -> 'Login session opened.'
Aug 30 09:59:50 myhostname sshd[1611]: pam_unix(sshd:session): session opened for user dbBackupUser by (uid=10)

Я пытался прописать правила в /var/ossec/rules/local_rules.xml, например:

<group name="pam,syslog,authentication_success,">
  <rule id="104040" level="0">
    <if_sid>5501</if_sid>
    <user>dbBackupUser</user>
    <options>no_email_alert</options>
    <description>Attempt to ignore sshd logins by dbBackupUser.</description>
  </rule>
</group> <!-- pam,syslog,authentication_success, -->

...Я перепробовал много вариантов этого правила. Это только один пример.

Может ли кто-нибудь указать мне, что я делаю неправильно?

За основу я взял найденный мной пример:

  <!-- This example will ignore failed ssh logins for the user name XYZABC.
    -->
  <!--
  <rule id="100020" level="0">
    <if_sid>5711</if_sid>
    <user>XYZABC</user>
    <description>Example of rule that will ignore sshd </description>
    <description>failed logins for user XYZABC.</description>
  </rule>
  -->

В конечном итоге я хотел бы, чтобы правило игнорирования проверяло как исходный IP-адрес, так и имя пользователя, но мне пока не удалось заставить это работать.

Спасибо!

решение1

Я работал над чем-то подобным и обнаружил, что пользователь не распознает мой декодер. В итоге я переключился на использование совпадения.

Если вы запустите запись журнала через ossec-logtest, вы сможете увидеть, настраивается ли пользователь на что-либо.

Связанный контент