intrusion-detection - 如何向 HTTP URL 发送 OSSec 通知

Question

目前我看到的只是电子邮件通知，可以在 OSSec 中发送警报。有什么方法可以在出现警报时进行 http 调用？

Answer 1

我发现，您可以发送带有主动响应的 ossec 通知：看看这个例子和这个ossec-tweeter.sh

Answer 2

我找不到将 ossec 通知发送到 webhook URL 的任何直接方法。但是，我在 logstash 的帮助下完成了这项工作，我们使用它来进行日志解析和索引。我添加了一个具有以下配置的logstash输出：

输出 {
  如果 [类型] == "ossec_alert" {
    http {
      http_method => "发布"
      网址 => "https://mythhpwebhook.com?key=1234"
      content_type => "应用程序/json"
      映射 => [“主题”、“OSSEC 警报：%{签名}”、“消息”、“%{消息}”]
    }
  }
}

不是：消息和签名在应用于 ossec 输入的过滤器中是可变的。