http://www.freebuf.com/articles/system/6157.html
OSSEC是一款开源的多平台的入侵检测系统,可以运行于Windows, Linux, OpenBSD/FreeBSD,
以及 MacOS等操作系统中。包括了日志分析,全面检测,rook-kit检测。作为一款HIDS,
OSSEC应该被安装在一台实施监控的系统中。
<group name="localtest,"> //每一组rule 都要有group <rule id="8888" level="7"> <decoded_as>lion</decoded_as> //使用一个叫lion的decode <description>testrule</description> //产生的告警信息 </rule> </group>
<decoder name="lion"> //这里是不规范注释,decoder 名称 上面提到的lion <prematch>^lion_00</prematch> // 匹配的内容 如果是高级的DECODER 还会有很多参数 </decoder>
**Phase 1: Completed pre-decoding. full event: 'lion_00' hostname: 'IDC2103' program_name: '(null)' log: 'lion_00' **Phase 2: Completed decoding. decoder: 'lion' **Phase 3: Completed filtering (rules). Rule id: '8888' Level: '7' Description: 'testrule' **Alert to be generated.