本文介绍如何配置OSSEC客户端与服务端的连接，并详细说明了如何设置OSSEC客户端配置文件以便从Snort接收全模式日志文件alertfull.ids。文章指出日志文件名不能包含下划线，且必须采用snort-full格式。
OSSEC客户端首先要跟服务端建立连接。
OSSEC客户端的配置文件里面要添加
<localfile>
<location>C:\Snort\log\alertfull.ids</location>
<log_format>snort-full</log_format>
</localfile>
其中，alertfull.ids是Snort产生的日志文件，好像必须为full模式的日志，fast模式实验没推送成功，同时，日志文件名不能有下划线 '_' ，不然也不能推送。
snort-full是日志文件的格式。
扫一扫
885
到【灌水乐园】发言
