OSSEC文档——规则和解码器

最新推荐文章于 2018-02-28 17:05:06 发布
最新推荐文章于 2018-02-28 17:05:06 发布
阅读量709 收藏 1
点赞数
分类专栏： OSSEC
vigel1990
关注
专栏目录
ossec的新功能－－预编译规则之一：ossec的规则
daosecurity的专栏
03-05 2381
OSSEC的预编译规则（CompiledRules）为了方便不喜欢编写xml格式规则的用户。利用这项功能，用户可以直接使用c语言来编写日志处理规则，在编译的时候，连接到analysisd程序。并非一种动态的规则扩展机制。为了了解预编译规则，我们先看一下ossec的规则定义。1. ossec的规则 ossec的规则是XML格式的，主要有两种：解码规则：用于判断日志的种类和格式，所有的
OSSEC功能进阶学习——OSSEC+ELK联动
zhalang8324的博客
08-11 781
decoder和rules学习 参考链接：https://www.freebuf.com/articles/system/6157.html 以及大大的新书：互联网安全建设从0到1 首先第一个坑！ 需要修改的decoder.xml是在/var/ossec/etc这个路径下的。。。ossec-logtest是/var/ossec/bin这个路径下的。。。 第二个坑，如下设置后，logtest依旧无法按照decode正常解析内容： <decoder name="logtest"> &l
Sysmon_OSSEC:Sysmon事件的OSSEC解码器和规则集
05-20
Sysmon_OSSEC 包括： Sysmon事件的OSSEC解码器（事件ID 1：流程创建） 哈希规则集上的警报：用于检测（按哈希）psexec使用情况的示例规则 映像名称规则集上的警报：用于检测（按映像名称）异常用户行为的示例规则 进程异常规则集：用于检测Windows进程异常的规则集
OSSEC文档——规则分类（级别）
c1052981766的专栏
02-28 1796
翻译：http://ossec-docs.readthedocs.io/en/latest/manual/rules-decoders/rule-levels.html规则分类（级别） 这些规则被分为多个级别。从最低的(00)到最大的15。有些级别现在还没有使用。其他级别可以在它们之间或之后添加。 这些规则将从最高到最低的级别进行读取。 00 - 忽略 - 没有采取行动。用于避免误报。这些规则在其...
ossec规则设置,以及常规问题释疑
weixin_34414196的博客
10-10 729
规则 Syscheck是OSSEC内部完整性检测进程的名称。它周期性检查是否有任何配置文件（或者windows注册表）发生改变。 配置文件地址为 [root@logserver etc]# pwd /var/ossec/etc [root@logserver etc]# vim ossec.conf 它的工作方法是：“代理每几个小时扫描一次系统...
ossec-sysmon:使用Sysmon增强Ossec检测功能的规则集
05-05
ossec-sysmon 使用Sysmon增强Ossec检测功能的规则集 请参阅以下文章，以了解此规则集如何帮助您检测Emotet和其他恶意文档恶意软件。 0805-sysmon-modular规则由olafhartong映射到Sysmon配置，并标记为MITER ATT＆CK框架。 您可以在以下链接中找到它。
ossec-docs:OSSEC文档
05-03
2. **配置OSSEC**：配置文件（如`ossec.conf`）用于设定监控规则、警报阈值和通知方式。 3. **启动与管理**：启动OSSEC守护进程，监控系统活动，使用命令行工具或Web界面进行管理。 4. **日志分析**：理解OSSEC的...
ansible-role-ossec-agent:安装和配置ossec-agent的角色
05-01
"ansible-role-ossec-agent" 是一个基于Ansible自动化运维工具的角色，专门用于部署和配置OSSEC主机入侵检测系统（HIDS）的代理。标题表明这个角色可以帮助系统管理员快速、一致地在多台服务器上安装并设置OSSEC ...
ossec2.8.1
02-22
OSSEC是一款开源的基于主机的入侵检测系统，可以简称为HIDS。它具备日志分析，文件完整性检查，策略监控，rootkit检测，实时报警以及联动响应等功能。它支持多种操作系统：Linux、Windows、MacOS、Solaris、HP-UX、...
ansible-ossec-agent:为RedHatDebianUbuntu安装和维护ossec-agent
05-24
dj-wasabi.ossec-agent 该角色将在服务器上安装并配置ossec-agent。 当配置了参数ossec_server_name ，它将使操作延迟以自动验证代理。 生成状态： 要求 该角色将在以下方面工作： 红色的帽子 的Ubuntu 德比安 ...
OSSEC文档——创建自定义解码器和规则
c1052981766的专栏
02-28 1522
翻译：http://ossec-docs.readthedocs.io/en/latest/manual/rules-decoders/rule-lists.html创建自定义解码器和规则 OSSEC的主要特性之一是监视系统和应用程序日志。许多流行的服务都已配有有日志和解码器，但是有数百个没有被覆盖。定制的应用程序和服务也不会被覆盖。OSSEC为服务添加解码器和规则通常非常简单。 添加要监视的文件...
OSSEC文档——测试OSSEC规则/解码器
c1052981766的专栏
02-28 828
翻译：http://ossec-docs.readthedocs.io/en/latest/manual/rules-decoders/testing.html测试OSSEC规则/解码器 大多数人在解决OSSEC或尝试编写新规则和解码时的第一个问题是如何测试它们。在过去，这需要手动重新启动OSSEC，或者创建一个测试安装。在版本1.6中，有一个工具可以简化这个任务(ossec-logtest)。...
OSSEC的rules语法
可木的专栏
03-07 2410
Rules的语法 http://www.ossec.net/doc/syntax/head_rules.html rule Defines a rule     level: 0-16     id: 100-99999, 100000-109999 are assigned to user     maxsize: 指定event的最大长度, 1-99999     frequenc
OSSEC的decoder语法
可木的专栏
03-08 998
选项： decoder Attributes: id::name:type:status: decoder.parent decoder.program_name Allowed: Any OS_Match/sregex Syntax decoder.prematch Allowed: Any OS_Match/sregex Syntax decoder.
OSSEC文档——规则和解码器的目录路径加载
c1052981766的专栏
02-28 670
翻译：http://ossec-docs.readthedocs.io/en/latest/manual/rules-decoders/rule_decoder_dir.html规则和解码器的目录路径加载 允许将文件的整个目录作为解码器、列表或规则加载到ossec-anaylistd中。 用例： 可以极大地简化使用解码器的工作，因为可以有尽可能多的文件。此外，还将对规则和解码器进行打包，使其成为...
ossec的新功能－－预编译规则之二：预编译规则
daosecurity的专栏
03-06 956
预编译规则根据上面的介绍，我们知道ossec有两种规则，其中解码器负责日志解码、分类，规则实现入侵检测和日志分析。想了解预编译规则能干什么，我们现看看ossec处理日志（以syslog为例）的基本处理流程：ossec-logcollector（源代码在src/logcollector）监控各种日志的变更，ossec支持syslog、mysql、postgresql、snort、
OSSEC的正则表达式语法
可木的专栏
03-07 999
正则表达式语法 Regular Expression Syntax http://www.ossec.net/doc/syntax/regex.html 目前OSSEC支持两种： OR_Regex or regexOS_Match or sregex 1) OR_Regex or regex：C中简单快速的正则表达式库。 表达式 Supported expressions: \w
OSSEC文档——正则语法
c1052981766的专栏
02-28 569
翻译：http://ossec-docs.readthedocs.io/en/latest/syntax/regex.html正则语法 目前，OSSEC支持正则表达式语法: OS_Regex或正则表达式 OS_Match或sregex OS_Regex或正则表达式 在c语言中，快速而简单的正则表达式库。 这个库的设计很简单，但是支持最常用的正则表达式。它在设计时考虑了入侵检测系统， ...
ossec的新功能－－预编译规则之三：评价
daosecurity的专栏
03-06 816
对预处理规则的评价 插件化是很多开源软件采取的，非常流行的扩展方式，例如： apache：采用动态共享对象的方式，提供扩展；利用Apache扩展工具(apxs)，可以无需重新编译apache，即可加入apache插件； nessus：nessus自创了一种叫做nasl的脚本语言来实现差价的扩展，由于其功能的局限，这种语言较受争议； nmap：通过NSE(Nmap Script
ossec logstash es大数据安全分析实践
2. 配置logstash：设置logstash的输入插件监听ossec的警报输出，使用过滤器插件处理和标准化数据，然后通过elasticsearch输出插件将数据推送至elasticsearch。 3. 部署elasticsearch：根据需求选择合适的硬件或...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值