debian/ossec-hids/usr/share/doc/ossec-hids/contrib/ossec-testing/tests/vsftpd.ini

   1 [CONNECT]
   2 log 1 pass = Wed Jul 27 18:32:27 2016 [pid 2] CONNECT: Client "fe80::baac:6fff:fe7d:d2e0"
   3 log 2 pass = Wed Jul 27 18:32:27 2016 [pid 2] CONNECT: Client "10.11.12.13"
   4
   5 rule = 11401
   6 alert = 3
   7 decoder = vsftpd
   8
   9 [LOGIN]
  10 log 1 pass = Mon Oct 24 11:32:53 2016 [pid 1] [$ALOC$] FAIL LOGIN: Client "10.55.112.101"
  11 log 2 pass = Mon Oct 24 11:32:53 2016 [pid 1] [$ALOC$] FAIL LOGIN: Client "fe80::baac:6fff:fe7d:d2e0"
  12
  13 rule = 11403
  14 alert = 5
  15 decoder = vsftpd
  16