debian/ossec-hids/usr/share/doc/ossec-hids/contrib/ossec-testing/tests/openbsd-dhcpd.ini

   1 [lease release]
   2 log 1 pass = Jan 26 18:12:55 junction dhcpd[4842]: IP address 192.168.1.16 answers a ping after sending a release
   3 log 2 pass = Jan 26 18:12:40 junction dhcpd[4842]: Possible release spoof - Not releasing address 192.168.17.160
   4
   5 rule = 53003
   6 alert = 5
   7 decoder = dhcpd
   8
   9 [no free leases]
  10 log 1 pass = Jan 26 17:42:32 junction dhcpd[4842]: no free leases on subnet 192.168.17.0
  11
  12 rule = 53011
  13 alert = 7
  14 decoder = dhcpd
  15
  16 [normal dhcp stuff]
  17 log 1 pass = Jan 27 09:25:36 junction dhcpd[71391]: DHCPREQUEST for 192.168.17.164 from f4:8c:50:9d:eb:35 via em1
  18 log 2 pass = Jan 27 09:25:36 junction dhcpd[71391]: DHCPDISCOVER from f4:8c:50:9d:eb:35 via em1
  19 log 3 pass = Jan 27 09:25:31 junction dhcpd[71391]: DHCPOFFER on 192.168.17.164 to f4:8c:50:9d:eb:35 via em1
  20
  21 rule = 53001
  22 alert = 1
  23 decoder = dhcpd
  24
  25