files/var/ossec/rules/local_rules.xml.expect

   1 <!-- @(#) $Id$
   2   -  Example of local rules for OSSEC.
   3   -
   4   -  Copyright (C) 2009 Trend Micro Inc.
   5   -  All rights reserved.
   6   -
   7   -  This program is a free software; you can redistribute it
   8   -  and/or modify it under the terms of the GNU General Public
   9   -  License (version 2) as published by the FSF - Free Software
  10   -  Foundation.
  11   -
  12   -  License details: http://www.ossec.net/en/licensing.html
  13   -->
  14
  15
  16 <!-- Modify it at your will. -->
  17
  18 <group name="local,syslog,">
  19
  20   <!-- Note that rule id 5711 is defined at the ssh_rules file
  21     -  as a ssh failed login. This is just an example
  22     -  since ip 1.1.1.1 shouldn't be used anywhere.
  23     -  Level 0 means ignore.
  24     -->
  25   <rule id="100001" level="0">
  26     <if_sid>5711</if_sid>
  27     <srcip>1.1.1.1</srcip>
  28     <description>Example of rule that will ignore sshd </description>
  29     <description>failed logins from IP 1.1.1.1.</description>
  30   </rule>
  31
  32
  33   <!-- This example will ignore ssh failed logins for the user name XYZABC.
  34     -->
  35   <!--
  36   <rule id="100020" level="0">
  37     <if_sid>5711</if_sid>
  38     <user>XYZABC</user>
  39     <description>Example of rule that will ignore sshd </description>
  40     <description>failed logins for user XYZABC.</description>
  41   </rule>
  42   -->
  43
  44
  45   <!-- Specify here a list of rules to ignore. -->
  46   <!--
  47   <rule id="100030" level="0">
  48     <if_sid>12345, 23456, xyz, abc</if_sid>
  49     <description>List of rules to be ignored.</description>
  50   </rule>
  51   -->
  52
  53 </group> <!-- SYSLOG,LOCAL -->
  54
  55
  56 <!-- EOF -->
  57 <!-- Begin update by CARNet package ossec-hids-cn -- DO NOT DELETE THIS LINE!-->
  58 <group name="local">
  59  <rule id="100031" level="0">
  60    <if_sid>1002</if_sid>
  61    <match>rsync</match>
  62    <description>Events ignored</description>
  63  </rule>
  64
  65  <rule id="100032" level="0">
  66    <if_sid>1002</if_sid>
  67    <program_name>^sophie|^smartd</program_name>
  68    <description>Ignore Sophie/SMARTd</description>
  69  </rule>
  70
  71  <rule id="100033" level="0">
  72    <if_sid>3303</if_sid>
  73    <description>Events ignored</description>
  74  </rule>
  75
  76  <rule id="100034" level="0">
  77    <if_sid>3356</if_sid>
  78    <description>Ignore blacklisted mail</description>
  79  </rule>
  80
  81  <rule id="100035" level="0">
  82    <if_sid>1002</if_sid>
  83    <match>cache</match>
  84    <program_name>^named</program_name>
  85    <description>Ignore BIND cache warnings</description>
  86  </rule>
  87
  88  <rule id="100036" level="0">
  89    <if_sid>2933</if_sid>
  90    <match>Updated timestamp for job</match>
  91    <program_name>^anacron</program_name>
  92    <description>Ignore Anacron warnings</description>
  93  </rule>
  94 </group>
  95 <!-- End update by CARNet package ossec-hids-cn -- DO NOT DELETE THIS LINE!-->