MEDIA-WIKI, MEDIA-WIKI_T, Bureaucrates, Administrateurs d’interface, Administrateurs (MediaWiki Sémantique), Conservateurs (MediaWiki Sémantique), Modificateurs (MediaWiki Sémantique), Masqueurs de modifications, Administrateurs
9 045
modifications
« LINUX:Wazuh-Décodeurs et Règles » : différence entre les versions
aucun résumé des modifications
Aucun résumé des modifications |
Aucun résumé des modifications |
||
| Ligne 11 : | Ligne 11 : | ||
=Emplacement= | =Emplacement= | ||
Les décodeurs et les règles sont réparties en deux ensembles, celles qui viennent avec le logiciel et celles que vous créez. | |||
Voici les répertoires où elles se situent: | |||
* "/var/ossec/ruleset/decoders" : les décodeurs du logiciel | |||
* "/var/ossec/ruleset/rules" : les règles du logiciel | |||
* "/var/ossec/etc/decoders" : les décodeurs personnels | |||
* "/var/ossec/etc/rules" : les règles personnelles | |||
Il est important de ne jamais modifier les fichiers venant avec le logiciel car vous risquez de perdre vos modifications lors d'une mise à jour. On utilise l'espace personnel. | |||
=Utilitaires= | |||
Il existe un utilitaire qui permet de tester interactivement les réactions des décodeurs et des règles. Normalement toute modification de décodeur ou de règle ne nécessite pas de redémarrage du service "wazuh-manager.service" mais j'ai remarqué que tout suppression ou renommage d'un de ces fichiers mettait en erreur cet utilitaire. Par contre, les modifications ne le perturbent pas, pour autant qu'il soit relancé. | |||
Cet utilitaire est: | |||
/var/ossec/bin/wazuh-logtest | |||
L'option "-h" présente l'aide. Le lancement sans option suffit. | |||
L'ancien utilitaire obsolète était plus utile car il donnait le cheminement des règles successives utilisées, ce qui aide grandement l'élaboration d'une règle. Il est encore disponible sous le nom: | |||
/var/ossec/bin/wazuh-logtest-legacy -v | |||
L'option "-v" apporte ce cheminement. Il faudrait cette même approche pour les décodeurs. | |||