OSSEC HIDS －监视追加文件

最新推荐文章于 2025-11-14 08:17:03 发布

最新推荐文章于 2025-11-14 08:17:03 发布 · 210 阅读

本文介绍如何通过修改OSSEC配置文件实现对系统中新添加文件的监控与告警功能。具体步骤包括在ossec.conf中启用alert_new_files选项，并在local_rules.xml中添加规则以覆盖默认设置。

1.在server 和 agent 的ossec.conf中，都追加这样一条:
<alert_new_files>yes</alert_new_files>
例如：

<directories
check_all="yes">/etc,/sbin,/bin,/usr/bin,/usr/sbin,/usr/local/bin,/usr/local/sbin</directories> <alert_new_files>yes</alert_new_files>

...
2.然后，在local_rules.xml 中追加如下配置：

<rule id="554" level="7" overwrite="yes">
<category>ossec</category>
<decoded_as>syscheck_new_entry</decoded_as>
<description>File added to the system.</description>
<group>syscheck,</group>
</rule>
然后再重启server 和agent上的ossec，生效。

解释：
上面这条规则的含义是，覆盖ossec_rules.xml中的规则554。

<rule id="554" level="0">
<category>ossec</category>
<decoded_as>syscheck_new_entry</decoded_as>
<description>File added to the system.</description>
<group>syscheck,</group>
</rule>
因为在ossec的规则554中，默认是不打开对追加文件的监视和提醒的。