☰

送信する前にログ検証ルールの行を操作する方法はありますか？

tag-icon • tag-icon linux ubuntu logs
送信する前にログ検証ルールの行を操作する方法はありますか？

logchecknetfilterログなどの場合は、フィルタを介して送信されるレポートを送信できればよいでしょう。

logcheck(8)そのようなことの説明はないようで、manページも同様ですlogcheck.conf。

ベストアンサー1

直接的ではありませんlogcheck。使用できる唯一の方法は、ログファイルの行をフィルタリングすることです。この記事には素晴らしいフィルタのサンプルコレクションがあります。logcheck — さまざまなフィルタ。

ただし、提供されているのは、独自のlogcheckバージョンを変更して生成できるシェルスクリプトです。通常、パッケージに付属のcronjobを変更し、logcheckSTDOUTを介して実行し、コンテンツをフィルタリングしてから手動で電子メールで送信することもできます。

( $ /usr/sbin/logcheck -o | ...your filter... ) | mail ...

カスタムフィルタ

フィルタを設定するには、ルールファイルをlogcheckそのディレクトリのディレクトリツリーに貼り付けて、関連性のないメッセージをフィルタリングできます。

$ ls -ld /etc/logcheck/*
drwxr-xr-x. 2 root root 4096 May 30 16:36 /etc/logcheck/cracking.d
drwxr-xr-x. 2 root root 4096 May 30 16:36 /etc/logcheck/ignore.d.paranoid
drwxr-xr-x. 2 root root 4096 May 30 16:36 /etc/logcheck/ignore.d.server
drwxr-xr-x. 2 root root 4096 May 30 16:36 /etc/logcheck/ignore.d.workstation
-rw-r--r--. 1 root root 2647 Feb 16  2013 /etc/logcheck/logcheck.conf
-rw-r--r--. 1 root root  133 Feb 16  2013 /etc/logcheck/logcheck.logfiles
drwxr-xr-x. 2 root root 4096 May 30 16:36 /etc/logcheck/violations.d
drwxr-xr-x. 2 root root 4096 May 30 16:36 /etc/logcheck/violations.ignore.d

たとえば、すでに多くの人気サービスのフィルタファイルが付属しています。

$ ls /etc/logcheck/ignore.d.server/ | head -10
acpid
amandad
amavisd-new
anacron
anon-proxy
apache
apcupsd
arpwatch
asterisk
automount

したがって、ルールを組み合わせてその内容をフィルタリングできます。

$ more /etc/logcheck/ignore.d.server/apache 
^\w{3} [ :0-9]{11} [._[:alnum:]-]+ apache: nss_ldap: reconnect(ing|ed) to LDAP server(\.\.\.| after [0-9]+ attempt\(s\))$

おすすめ記事