OSSEC文档——CDB从内部规则中查找查询

最新推荐文章于 2021-10-07 16:08:09 发布

翻译最新推荐文章于 2021-10-07 16:08:09 发布 · 556 阅读

OSSEC 专栏收录该内容

33 篇文章

订阅专栏

本文介绍了如何在OSSEC中使用CDB进行内部规则查询，包括递归日志检查、服务器用户列表验证及IP地址匹配等操作。文章详细解释了各种查询语法的应用场景。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

翻译：http://ossec-docs.readthedocs.io/en/latest/manual/rules-decoders/rule-lists.html

CDB从内部规则中查找查询
运行CDBzai OSSEC内部规则中查询任意字段
用例：
使用递归日志来检查www.malwaredomains.com的可疑域列表
服务器批准用户列表
IP地址查找——在ossec规则中有大量可疑或已知的错误IP地址

语法列表
规则
规则将使用下面的语法来查找一个CDB数据库。
正键匹配
<list field="program_name" lookup="match_key">rules/records</list>
反键匹配
<list field="program_name" lookup="not_match_key">rules/records</list>
键值匹配
<list field="program_name" lookup="match_key_value" check_value="^reject">rules/records</list>
IP匹配
<list field="srcip" lookup="address_match_key">rules/records</list>
<list field="srcip" lookup="not_address_match_key">rules/records</list>
<list field="srcip" lookup="address_match_key_value" check_value="^reject">rules/records</list>