OSSEC文件监控和命令监控（附文件监控测试用例）

最新推荐文章于 2024-04-12 16:46:16 发布

zhang35

最新推荐文章于 2024-04-12 16:46:16 发布

阅读量1.6k

点赞数

分类专栏：网络安全文章标签： OSSEC log 监控测试显示

本文链接：https://blog.youkuaiyun.com/zhang35/article/details/105509142

版权

本文介绍了OSSEC的文件监控和命令监控功能，详细讲解了如何配置OSSEC进行log文件监控，并提供了自定义文件监控的测试案例。通过监控log文件和系统命令，OSSEC能够检测攻击、误用和系统错误。文中提到了agent和server的角色，以及配置文件ossec.conf中的localfile设置。此外，还展示了如何监控磁盘使用、系统负载、命令输出变化和USB设备变动。通过自定义文件监控测试，验证了OSSEC的实时警报功能。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

OSSEC的log文件监控(LIDS，log-based intrusion detection），能检测攻击、误用、系统错误等。

agent端不产生alerts，全部由server集中分析处理。

具体参考官方文档：Log monitoring/analysis

文件监控

ossec-logcollector进程负责监控log文件和事件，有新的日志消息时就转发到server。

配置文件为ossec.conf，通过配置<localfile>标签指定监控的log文件。具体参考：localfile syntax page

agent默认localfile设置如下：

  <!-- Files to monitor (localfiles) -->

  <localfile>
    <log_format>syslog</log_format>
    <location>/var/log/auth.log</location>
  </localfile>

  <localfile>