可木的专栏

OSSEC客户端首先要跟服务端建立连接。OSSEC客户端的配置文件里面要添加      C:\Snort\log\alertfull.ids     snort-full  其中，alertfull.ids是Snort产生的日志文件，好像必须为full模式的日志，fast模式实验没推送成功，同时，日志文件名不能有下划线 '_' ，不然也不能推送。snort-full是日

当装有agent的虚拟机还原到之前的snapshot后，无法与manager重新建立连接。这是因为二者之间没有同步了。ossec靠rids文件来同步。解决方法：1、分别停止manager和agent进程。2、在manager端删掉/var/ossec/queue/rids文件夹下对应agent id的文件。3、重启manager和agent连接正常了。。。。

正则表达式语法 Regular Expression Syntaxhttp://www.ossec.net/doc/syntax/regex.html目前OSSEC支持两种：OR_Regex or regexOS_Match or sregex1) OR_Regex or regex：C中简单快速的正则表达式库。表达式 Supported expressions:\w

选项：decoderAttributes:id::name:type:status:decoder.parentdecoder.program_nameAllowed: Any OS_Match/sregex Syntaxdecoder.prematchAllowed: Any OS_Match/sregex Syntaxdecoder.

按照mannul的介绍，直接在ossec.conf中配置如下：yesjack.23783@gmail.comsmtp.gmail.comossec@jack-ubuntu-desktop11可是gmail收不到任何alert邮件。按照josay的方法，将alert以邮件发给本地root，http://blog.youkuaiyun.com/jo_say/arti

方法一：可以用终端安装或卸载软件。方法二：用系统自带的“新立得软件包管理器”在终端里安装软件 apt-get install softname1 softname2 softname3……卸载软件 apt-get remove softname1 softname2 softname3……卸载并清除配置 apt-get remove --purge softname1更

Rules的语法http://www.ossec.net/doc/syntax/head_rules.htmlrule Defines a rule    level: 0-16    id: 100-99999, 100000-109999 are assigned to user    maxsize: 指定event的最大长度, 1-99999    frequenc

1、Syscheck    Integrity checking is an essential part of intrusion detection.    执行周期 periodically: scans the system every few hours(by default 22h for ubuntu and 20h for windows).    数据存放位置 dat

Understanding OSSEC●OSSEC two working models   ➔Local (useful when you have only one system to monitor)   ➔Agent/Server (recommended!)●By default installed at /var/ossec●Main configuration f

完整的syslog消息由3部分组成，分 别是PRI、HEADER和MSG。大部分syslog都包含PRI和MSG部分，而HEADER可能没有。下面是一个syslog消息：Oct 9 22:33:20 hlfedora auditd[1787]: The audit daemon is exiting.其中“”是PRI部分，“Oct 9 22:33:20 hlfedora”是HEADER

安装OSSEC小结:linux_server+xp_agent 安装过程中报编译错误，比如"Error Making analysisd"等，此时要看清报错的位置及原因，定位问题的根源。我的这个"Error Making analysisd"是因为analysisd文件夹里面的某个configure文件没有权限执行(permission denied)所以提升对应文件的权限即可su