logalyze如何添加事件定义

Question

我正在努力logalyze，这个工具的文档非常有限。 我已经完成了大部分工作，但我无法添加警报。

以下为事件定义一个示例XML文件

<?xml version="1.0" encoding="UTF-8"?> 
<tns:definitions xmlns:tns="http://logalyze.com" xmlns:xsi="http://www.w3.org /2001/XMLSchema-instance" xsi:schemaLocation="http://logalyze.com http://repository.logalyze.com/logalyze-definitions-1.0.xsd "> 
     <tns:eventdef version="1" id="a4151076-152c-11e1-91a4-0018de9d251b"> 
       <tns:name>Critical event Mod Sec</tns:name> 
       <tns:description>Mod Sec</tns:description> 
       <tns:vendor>LOGalyze</tns:vendor> 
       <tns:group></tns:group> 
       <tns:rule>SingleWithThreshold</tns:rule> 
       <tns:criteria> 
         <tns:criterion> 
           <tns:field>_tag</tns:field> 
           <tns:operator>=</tns:operator> 
           <tns:value>mod_sec_warn</tns:value> 
         </tns:criterion> 
       </tns:criteria> 
       <tns:desc>3 login failures within 1m for user ${user_name}</tns:desc> 
       <tns:window>60</tns:window> 
       <tns:thresh>3</tns:thresh> 
       <tns:actions> 
         <tns:action type="event"> 
           <tns:prop> 
             <tns:key>field:msg</tns:key> 
             <tns:value>3 login failures within 1m for user ${user_name}</tns:value> 
           </tns:prop> 
           <tns:prop> 
             <tns:key>field:user_name</tns:key> 
             <tns:value/> 
           </tns:prop> 
           <tns:prop> 
             <tns:key>field:loghostname</tns:key> 
             <tns:value/> 
           </tns:prop> 
           <tns:prop> 
             <tns:key>field:_priority</tns:key> 
             <tns:value>high</tns:value> 
           </tns:prop> 
         </tns:action> 
       </tns:actions> 
     </tns:eventdef> 
</tns:definitions> 

感谢 Infosec.pk

Answer 1

所以我应该加强这方面的:-)的文档

你有一个类型的行动“事件”。这会生成一个仿真日志条目，在prop列表（msg，user_name，loghostname，_priority）中使用带有字段nem/value对的logtype事件。 这种类型的日志可以被搜索并且可以是任何其他事件定义的输入。

要发送提醒，您必须使用动作类型“邮件”。的 “邮件” 行动 属性是：

• 到：电子邮件地址
• 主题：Defaule值是： 'LOGalyze警报'

邮件正文的内容将通过LOGalyze产生，目前你不能修改它。