禁止 root ssh 失败时发送 OSSEC 电子邮件

Question

我在 Ubuntu 12.10 服务器上运行 OSSEC 作为 HIDS，它会定期（每天 3-4 次）向我发送如下通知：（请注意，IP 地址的最后一个八位字节已更改为“xxx”以保护有罪者）

OSSEC HIDS Notification.
2013 Nov 21 15:10:43

Received From: localhost->/var/log/auth.log
Rule: 2502 fired (level 10) -> "User missed the password more than one time"
Portion of the log(s):

Nov 21 15:10:41 localhost sshd[3594]: PAM 5 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=61.147.74.xxx user=root

--END OF NOTIFICATION

我是服务器上唯一的（合法）用户，并且我已经PermitRootLogin no在我的 中设置了/etc/ssh/sshd_config。因此，每次有人以 root 身份 ssh 失败时向我发送警报是没有意义的。

我发现 OSSEC 规则 2502 定义如下/var/ossec/rules/syslog_rules.xml：

  <rule id="2502" level="10">
    <match>more authentication failures;|REPEATED login failures</match>
    <description>User missed the password more than one time</description>
    <group>authentication_failed,</group>
  </rule>

我并不想完全禁用此规则，因为如果尝试登录我的用户名失败，那么了解这一点会非常有帮助。我只需要当用户名是 root 时不要给我发送电子邮件。

Answer 1

将以下内容添加到您的“/var/ossec/rules/local_rules.xml”中。

<rule id="100001" level="10">
  <if_sid>2502</if_sid>
  <description>Suppress email from failed login attempts</description>
  <options>no_email_alert</options>
</rule>

这样，警报（）就不会发送电子邮件，<options>no_email_alert</options>但仍会被标记为级别 10，并触发适当的主动响应。