Re: light IDS

[Mikolaj Golub <golub@inec.kharkov.com>]

On Mon, 30 Jan 2006 15:08:05 +0300 Alexander Gerasiov wrote:

 AG> Господа, возник такой вопрос.

 AG> Знает ли кто-нибудь утилиту, которая умела бы читать сислог (в фоне) и в
 AG> случае, если там встречается некая подстрока, выполнять какое-то
 AG> действие (запускать внешнюю команду).

awk :-)

tail -f /var/log/messages | awk '/.../ {system "..."}'

Только нужно перезапускать при ротации лога. Или через пайп. Например, в
/etc/syslog.conf:

auth,authpriv.* |/var/log/fifo

Делаем:

mkfifo /var/log/fifo
awk '/sudo:.*COMMAND=\/bin\/ls/ {system ("echo ls command run")}' /var/log/fifo

Проверяем:
sudo ls

-- 
to my, trociny