OSSEC HIDS －监视追加文件

1.在server 和 agent 的ossec.conf中，都追加这样一条:
< alert_new_files>yes</ alert_new_files>
例如：

<directories
check_all="yes">/etc,/sbin,/bin,/usr/bin,/usr/sbin,/usr/local/bin,/usr/loca<wbr>l/sbin&lt;/directories&gt; <br> &lt;<b style="color: black; background-color: rgb(255, 255, 102);">alert_new_files</b>&gt;yes&lt;/<b style="color: black; background-color: rgb(255, 255, 102);">alert_new_files</b>&gt; <br></wbr>

...
2.然后，在local_rules.xml 中追加如下配置：

<rule id="554" level="7" overwrite="yes">
<category>ossec</category>
<decoded_as>syscheck_new_entry</decoded_as>
<description>File added to the system.</description>
<group>syscheck,</group>
</rule>
然后再重启server 和agent上的ossec，生效。

解释：
上面这条规则的含义是，覆盖ossec_rules.xml中的规则554。

<rule id="554" level="0">
<category>ossec</category>
<decoded_as>syscheck_new_entry</decoded_as>
<description>File added to the system.</description>
<group>syscheck,</group>
</rule>
因为在ossec的规则554中，默认是不打开对追加文件的监视和提醒的。