我已阅读有关Wazuh 中的集中式配置的信息。但是可以在服务器中启用/禁用规则而不是在所有服务器中更改吗?
问问题
959 次
1 回答
1
我在这里找到了答案..
在 ossec 模型中,代理没有任何关于规则的信息。因此,如果您需要修改规则,则需要在服务器端进行。
你怎么做呢?如果您有这样的规则(来自我们的常见问题解答):
` <group name="local">
<rule id="100101" level="0">
<if_sid>123, 456</if_sid>
<match>xyz</match>
<description>Events ignored</description>
</rule>
</group>
`
但是您只希望它适用于一个代理,您需要使用“主机名”标签将其限制为您想要的代理:
<group name="local">
<rule id="100101" level="0">
<if_sid>123, 456</if_sid>
<match>xyz</match>
<hostname>agent1|agent2</hostname>
<description>Events ignored</description>
</rule>
</group>
希望能帮助到你。
于 2018-07-22T21:22:30.457 回答