linux只设置时间戳,linux – 如何让sec正确忽略时间戳

我有一个像这样设置的规则;

在/etc/sec/rules.d我有;

type=SingleWithSuppress

ptype=regexp

pattern=(\S+) sshd\[\d+\]: PAM \d+ more authentication failures\; logname=.* uid=.* euid=.* tty=ssh ruser=.* rhost=(.*) user=(.*)

desc=Login Failure: $0

action=pipe '%s ' /bin/mail -s "login failure $2 to $3@$1" team@team.com

window=300

所以如果这是通过syslog来的;

Nov 21 11:24:10 servername.server.com sshd[26846]: PAM 2 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost= user=kloggins

它应该根据模式匹配(根据我的正则表达式编辑器);

servername.server.com sshd[26846]: PAM 2 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost= user=kloggins

我们遇到垃圾邮件问题,因为时间戳正在发生变化.所以我重写了模式以匹配主机名后的所有内容.

但是,这似乎不起作用,每次用户“身份验证失败”时,我仍然会收到一封电子邮件.

我一直在使用以下测试;

logger -p syslog.err 'sshd[26846]: PAM 2 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost= user='

有任何想法吗？我可能只是误解了秒.这是我第一次使用它！

任何帮助将不胜感激.谢谢！