- #10324: instalacija
[ossec-hids.git] / src / analysisd / eventinfo.h
1 /* @(#) $Id: eventinfo.h,v 1.37 2009/07/24 18:34:11 dcid Exp $ */
2
3 /* Copyright (C) 2009 Trend Micro Inc.
4  * All right reserved.
5  *
6  * This program is a free software; you can redistribute it
7  * and/or modify it under the terms of the GNU General Public
8  * License (version 3) as published by the FSF - Free Software
9  * Foundation
10  */
11
12
13
14 #ifndef _EVTINFO__H
15
16 #define _EVTINFO__H
17
18 #include "rules.h"
19 #include "decoders/decoder.h"
20
21
22 /* Event Information structure */
23 typedef struct _Eventinfo
24 {
25     /* Extracted from the event */
26     char *log;
27     char *full_log;
28     char *location;
29     char *hostname;
30     char *program_name;
31
32
33     /* Extracted from the decoders */
34     char *srcip;
35     char *dstip;
36     char *srcport;
37     char *dstport;
38     char *protocol;
39     char *action;
40     char *srcuser;
41     char *dstuser;
42     char *id;
43     char *status;
44     char *command;
45     char *url;
46     char *data;
47     char *systemname;
48
49
50     /* Pointer to the rule that generated it */
51     RuleInfo *generated_rule;
52
53     /* Pointer to the decoder that matched */
54     OSDecoderInfo *decoder_info;
55
56     /* Sid node to delete */
57     OSListNode *sid_node_to_delete;
58
59     /* Extract when the event fires a rule */
60     int size;
61     int p_name_size;
62
63
64     /* Other internal variables */
65     short int matched;
66     
67     int time;
68     int day;
69     int year;
70     char hour[9];
71     char mon[4];
72 }Eventinfo;
73
74
75 /* Events List structure */
76 typedef struct _EventNode
77 {
78     Eventinfo *event;
79     struct _EventNode *next;
80     struct _EventNode *prev;
81 }EventNode;
82
83
84
85 /** Types of events (from decoders) **/
86 #define UNKNOWN         0   /* Unkown */
87 #define SYSLOG          1   /* syslog messages */
88 #define IDS             2   /* IDS alerts */
89 #define FIREWALL    3   /* Firewall events */
90 #define WEBLOG      7   /* Apache logs */
91 #define SQUID       8   /* Squid logs */
92 #define WINDOWS     9   /* Windows logs */
93 #define HOST_INFO   10  /* Host information logs (from nmap or similar) */
94 #define OSSEC_RL    11  /* Ossec rules */
95 #define OSSEC_ALERT 12  /* Ossec Alerts */
96
97
98 /* FTS allowed values */
99 #define FTS_NAME        001000
100 #define FTS_SRCUSER     002000
101 #define FTS_DSTUSER     004000
102 #define FTS_SRCIP       000100
103 #define FTS_DSTIP       000200
104 #define FTS_LOCATION    000400
105 #define FTS_ID          000010
106 #define FTS_DATA        000020
107 #define FTS_SYSTEMNAME  000040
108 #define FTS_DONE        010000
109
110
111 /** Functions for events **/
112
113 /* Search for matches in the last events */
114 Eventinfo *Search_LastEvents(Eventinfo *lf, RuleInfo *currently_rule);
115 Eventinfo *Search_LastSids(Eventinfo *my_lf, RuleInfo *currently_rule);
116 Eventinfo *Search_LastGroups(Eventinfo *my_lf, RuleInfo *currently_rule);
117
118 /* Zero the eventinfo structure */
119 void Zero_Eventinfo(Eventinfo *lf);
120
121 /* Free the eventinfo structure */
122 void Free_Eventinfo(Eventinfo *lf);
123
124 /* Add and event to the list of previous events */
125 void OS_AddEvent(Eventinfo *lf);
126
127 /* Return the last event from the Event list */
128 EventNode *OS_GetLastEvent();
129
130 /* Create the event list. Maxsize must be specified */
131 void OS_CreateEventList(int maxsize);
132
133
134 /* Pointers to the event decoders */
135 void *SrcUser_FP(Eventinfo *lf, char *field);
136 void *DstUser_FP(Eventinfo *lf, char *field);
137 void *SrcIP_FP(Eventinfo *lf, char *field);
138 void *DstIP_FP(Eventinfo *lf, char *field);
139 void *SrcPort_FP(Eventinfo *lf, char *field);
140 void *DstPort_FP(Eventinfo *lf, char *field);
141 void *Protocol_FP(Eventinfo *lf, char *field);
142 void *Action_FP(Eventinfo *lf, char *field);
143 void *ID_FP(Eventinfo *lf, char *field);
144 void *Url_FP(Eventinfo *lf, char *field);
145 void *Data_FP(Eventinfo *lf, char *field);
146 void *Status_FP(Eventinfo *lf, char *field);
147 void *SystemName_FP(Eventinfo *lf, char *field);
148 void *None_FP(Eventinfo *lf, char *field);
149
150
151
152 #endif /* _EVTINFO__H */