OSSEC HIDS通知每五分钟从服务器发送一次电子邮件

Question

我的服务器每五分钟向我的电子邮件发送以下错误信息：

OSSEC HIDS通知。 2011 6月17日16:30:03收到ubuntu -> /var/log/syslog 规则: 1002已发射(2级)->“系统中某个未知问题”。日志的部分(S)：6月18日08:01 ubuntu CRON16935：(www-data) CMD (php /usr/share/ubuntu/site/poller.php >/dev/null 2>/var/log/cacti/poller-error.log)

对它的意思有什么想法吗？

Answer 1

我相信下面的规则是这样的，基本上如果我没有错的话，这就是OSSEC在裂缝中失败并最终碰到这个规则的地方。当新的未知系统日志出现时，总会有这样的规则触发，在您的示例中，这是Cacti轮询日志，它不知道。

<rule id="1002" level="2">
  <match>$BAD_WORDS</match>
  <options>alert_by_email</options>
  <description>Unknown problem somewhere in the system.</description>
</rule>

您需要添加规则来匹配好的syslog，并编写规则来警告坏的系统日志。

OSSEC的站点在这里解释了这一点，http://www.ossec.net/wiki/Know_如何:电子邮件_警报_下面_7