OSSEC_study2

1. OSSEC 手册推荐你通过添写客户规则来修改行为并把它们添加到local_rules.xml文件，而不是编辑规则本身。

2. OSSEC是一个HIDS(host-based),而不是NIDS(net-based),just like Snort. But OSSEC can be used in conjuction with it by monitoring Snort's logs.

3. 监控对象：system logs, file integrity in system directories, system processor

4. OSSEC主要是监控并alert by email or SMS, 但是它也可以实现response(limited active-response)在检测之后。

5. rule是以xml形式放置在var/ossec/rules下

6. check the Manual ,有一个可以只让server连接断线时发送alert的规则修改方法，默认是agent&server disconnect都会alert

7. range从0到15，email_alert_level by default是7.

8. 如果某rule带有这样的tag：<options>alert_by_email</option>，则其会忽略ossec.conf文件的email发送的限制，总是发送email。所以如果有trivial events's email, this is probably why.

8. 文件完整性检查 integrity checking 通常只扫描 C:/system32.

9. database fiels in agents: c:/program files/ossec-agent/syscheck...

 

 

 

other：

mkdir , rm -rf,-r表示递归子目录，-f表示强制，reboot重启

ln:将档案 yy 产生一个 symbolic link : zz, ln -s yy zz

　 将档案 yy 产生一个 hard link : zz, ln yy xx

返回上级目录cd .. ,*.sh文件执行是./*.sh

head/tail -n 行数 文件名 显示文件的前/后几行 

cat显示全部 -n 参数表示加编号