debian/ossec-hids/var/ossec/rules/ms_firewall_rules.xml

   1 <!-- OSSEC Rules for Windows Firewall - https://support.microsoft.com/en-us/help/977519/description-of-security-events-in-windows-7-and-in-windows-server-2008 -->
   2
   3 <group name="windows,firewall,">
   4
   5   <rule id="53631" level="3">
   6     <if_sid>18104</if_sid>
   7     <id>^5024$</id>
   8     <description>Windows Firewall Service has started successfully</description>
   9     <group>windows_firewall</group>
  10   </rule>
  11
  12   <rule id="53632" level="8">
  13     <if_sid>18104</if_sid>
  14     <id>^5025$</id>
  15     <description>Windows Firewall Service has been stopped</description>
  16     <group>windows_firewall</group>
  17   </rule>
  18
  19   <rule id="53633" level="4">
  20     <if_sid>18104</if_sid>
  21     <id>^5027$</id>
  22     <description>Windows Firewall Service was unable to retrieve the security policy from the local storage. Windows Firewall will continue to enforce the current policy</description>
  23     <group>windows_firewall</group>
  24   </rule>
  25
  26   <rule id="53634" level="4">
  27     <if_sid>18104</if_sid>
  28     <id>^5028$</id>
  29     <description>Windows Firewall was unable to parse the new security policy. Windows Firewall will continue to enforce the current policy</description>
  30     <group>windows_firewall</group>
  31   </rule>
  32
  33   <rule id="53635" level="4">
  34     <if_sid>18104</if_sid>
  35     <id>^5029$</id>
  36     <description>The Windows Firewall service failed to initialize the driver. Windows Firewall will continue to enforce the current policy</description>
  37     <group>windows_firewall</group>
  38   </rule>
  39
  40   <rule id="53636" level="8">
  41     <if_sid>18104</if_sid>
  42     <id>^5030$</id>
  43     <description>Windows Firewall Service failed to start</description>
  44     <group>windows_firewall</group>
  45   </rule>
  46
  47   <rule id="53637" level="2">
  48     <if_sid>18105</if_sid>
  49     <id>^5031$</id>
  50     <description>Windows Firewall Service blocked an application from accepting incoming connections on the network</description>
  51     <group>windows_firewall</group>
  52   </rule>
  53
  54   <rule id="53638" level="2">
  55     <if_sid>18105</if_sid>
  56     <id>^5032$</id>
  57     <description>Windows Firewall was unable to notify the user that it blocked an application from accepting incoming connections on the network</description>
  58     <group>windows_firewall</group>
  59   </rule>
  60
  61   <rule id="53639" level="3">
  62     <if_sid>18104</if_sid>
  63     <id>^5033$</id>
  64     <description>Windows Firewall Driver started successfully</description>
  65     <group>windows_firewall</group>
  66   </rule>
  67
  68   <rule id="53640" level="8">
  69     <if_sid>18104</if_sid>
  70     <id>^5034$</id>
  71     <description>Windows Firewall Driver was stopped</description>
  72     <group>windows_firewall</group>
  73   </rule>
  74
  75   <rule id="53641" level="8">
  76     <if_sid>18105</if_sid>
  77     <id>^5035$</id>
  78     <description>Windows Firewall Driver failed to start</description>
  79     <group>windows_firewall</group>
  80   </rule>
  81
  82   <rule id="53642" level="8">
  83     <if_sid>18105</if_sid>
  84     <id>^5037$</id>
  85     <description>Windows Firewall Driver detected a critical runtime error, terminating</description>
  86     <group>windows_firewall</group>
  87   </rule>
  88
  89   <rule id="53643" level="8">
  90     <if_sid>18104</if_sid>
  91     <id>^4946$</id>
  92     <description>A rule was added to Windows Firewall exception list</description>
  93     <group>windows_firewall</group>
  94   </rule>
  95
  96   <rule id="53644" level="8">
  97     <if_sid>18104</if_sid>
  98     <id>^4947$</id>
  99     <description>A rule was modified from Windows Firewall exception list</description>
 100     <group>windows_firewall</group>
 101   </rule>
 102
 103   <rule id="53645" level="8">
 104     <if_sid>18104</if_sid>
 105     <id>^4948$</id>
 106     <description>A rule was deleted from Windows Firewall exception list</description>
 107     <group>windows_firewall</group>
 108   </rule>
 109
 110   <rule id="53646" level="8">
 111     <if_sid>18104</if_sid>
 112     <id>^4949$</id>
 113     <description>Windows Firewall settings were restored to the default values</description>
 114     <group>windows_firewall</group>
 115   </rule>
 116
 117   <rule id="53647" level="8">
 118     <if_sid>18104</if_sid>
 119     <id>^4950$</id>
 120     <description>A Windows Firewall setting was changed</description>
 121     <group>windows_firewall</group>
 122   </rule>
 123
 124   <rule id="53648" level="8">
 125     <if_sid>18105</if_sid>
 126     <id>^4951$</id>
 127     <description>Windows Firewall ignored a rule because its major version number is not recognized.</description>
 128     <group>windows_firewall</group>
 129   </rule>
 130
 131   <rule id="53649" level="8">
 132     <if_sid>18105</if_sid>
 133     <id>^4952$</id>
 134     <description>Windows Firewall ignored parts of a rule because its minor version number is not recognized. Other parts of the rule will be enforced</description>
 135     <group>windows_firewall</group>
 136   </rule>
 137
 138   <rule id="53650" level="8">
 139     <if_sid>18105</if_sid>
 140     <id>^4953$</id>
 141     <description>Windows Firewall ignored a rule because it could not be parsed</description>
 142     <group>windows_firewall</group>
 143   </rule>
 144
 145   <rule id="53651" level="8">
 146     <if_sid>18104</if_sid>
 147     <id>^4954$</id>
 148     <description>Group Policy settings for Windows Firewall were changed, and the new settings were applied</description>
 149     <group>windows_firewall</group>
 150   </rule>
 151
 152   <rule id="53652" level="8">
 153     <if_sid>18104</if_sid>
 154     <id>^4956$</id>
 155     <description>Windows Firewall changed the active profile</description>
 156     <group>windows_firewall</group>
 157   </rule>
 158
 159   <rule id="53653" level="8">
 160     <if_sid>18105</if_sid>
 161     <id>^4957$</id>
 162     <description>Windows Firewall did not apply some rules</description>
 163     <group>windows_firewall</group>
 164   </rule>
 165
 166   <rule id="53654" level="8">
 167     <if_sid>18105</if_sid>
 168     <id>^4958$</id>
 169     <description>Windows Firewall did not apply some rules because the rule referred to items not configured on this computer</description>
 170     <group>windows_firewall</group>
 171   </rule>
 172
 173 </group>