Events 日志分析如何添加事件定义
我在logalyze上工作，这个工具的文档非常有限。 我已经完成了大部分工作，但无法添加警报 下面是事件定义的示例xml文件Events 日志分析如何添加事件定义,events,logalyze,Events,Logalyze,我在logalyze上工作，这个工具的文档非常有限。 我已经完成了大部分工作，但无法添加警报 下面是事件定义的示例xml文件 <?xml version="1.0" encoding="UTF-8"?> <tns:definitions xmlns:tns="http://logalyze.com" xmlns:xsi="http://www.w3.org /2001/XMLSchema-instance" xsi:schemaLocation="http://logaly
<?xml version="1.0" encoding="UTF-8"?>
<tns:definitions xmlns:tns="http://logalyze.com" xmlns:xsi="http://www.w3.org /2001/XMLSchema-instance" xsi:schemaLocation="http://logalyze.com http://repository.logalyze.com/logalyze-definitions-1.0.xsd ">
<tns:eventdef version="1" id="a4151076-152c-11e1-91a4-0018de9d251b">
<tns:name>Critical event Mod Sec</tns:name>
<tns:description>Mod Sec</tns:description>
<tns:vendor>LOGalyze</tns:vendor>
<tns:group></tns:group>
<tns:rule>SingleWithThreshold</tns:rule>
<tns:criteria>
<tns:criterion>
<tns:field>_tag</tns:field>
<tns:operator>=</tns:operator>
<tns:value>mod_sec_warn</tns:value>
</tns:criterion>
</tns:criteria>
<tns:desc>3 login failures within 1m for user ${user_name}</tns:desc>
<tns:window>60</tns:window>
<tns:thresh>3</tns:thresh>
<tns:actions>
<tns:action type="event">
<tns:prop>
<tns:key>field:msg</tns:key>
<tns:value>3 login failures within 1m for user ${user_name}</tns:value>
</tns:prop>
<tns:prop>
<tns:key>field:user_name</tns:key>
<tns:value/>
</tns:prop>
<tns:prop>
<tns:key>field:loghostname</tns:key>
<tns:value/>
</tns:prop>
<tns:prop>
<tns:key>field:_priority</tns:key>
<tns:value>high</tns:value>
</tns:prop>
</tns:action>
</tns:actions>
</tns:eventdef>
</tns:definitions>
临界事件模式秒
国防部秒
对数分析
单阈值
_标签
=
mod_sec_警告
用户${user_name}在1m范围内3次登录失败
60
3.
字段：msg
用户${user_name}在1m范围内3次登录失败
字段：用户名
字段：loghostname
字段：\u优先级
高的
Infosec.pk所以我应该加强这方面的文档：-） 您有一个类型为“事件”的操作。这将生成一个人工日志条目，其中包含logtype事件以及属性列表中的字段nem/值对（消息、用户名、日志主机名、优先级）。 此类型的日志无法搜索，并且可以作为任何其他事件定义的输入 要发送警报，您必须使用操作类型“邮件”。 “邮件”操作的属性包括：
- 收件人：电子邮件地址
- 主题：默认值为：“日志分析警报”