debian/ossec-hids/usr/share/doc/ossec-hids/contrib/ossec-testing/tests/su.ini

   1 [su: failed ]
   2 log 1 pass = Apr 27 15:22:23 niban su[2921936]: failed: ttyq4 changing from ldap to root
   3 log 2 pass = Jun 20 17:19:59 dactyl su: FAILED SU (to root) mmoorcro on pts/0
   4 rule = 5302
   5 alert = 9
   6 decoder = su
   7
   8 [su: bad pass]
   9 log 1 pass = Apr 27 15:22:23 niban su[234]: BAD SU ger to fwmaster on /dev/ttyp0
  10 rule = 5301
  11 alert = 5
  12 decoder = su
  13
  14 [su: pam - auth fail]
  15 log 1 fail = Apr 27 15:22:23 niban su(pam_unix)[23164]: authentication failure; logname= uid=1342 euid=0 tty= ruser=dcid rhost=  user=osaudit
  16 log 2 fail = Apr 27 15:22:23 niban su(pam_unix)[2298]: authentication failure; logname= uid=1342 euid=0 tty= ruser=dcid rhost=  user=root
  17 rule = 5503
  18 alert = 5
  19 decoder = su
  20
  21
  22 [su: work fts]
  23 log 1 pass = Apr 22 17:51:51 enigma su: dcid to root on /dev/ttyp1
  24 rule = 5305
  25 alert = 4
  26 decoder = su
  27