Re: light IDS

[Artem Chuprina <ran@ran.pp.ru>]

Mikolaj Golub -> Debian-Russian List  @ Mon, 30 Jan 2006 15:21:58 +0200:


 MG> On Mon, 30 Jan 2006 15:08:05 +0300 Alexander Gerasiov wrote:

 AG>> Господа, возник такой вопрос.

 AG>> Знает ли кто-нибудь утилиту, которая умела бы читать сислог (в фоне) и в
 AG>> случае, если там встречается некая подстрока, выполнять какое-то
 AG>> действие (запускать внешнюю команду).

 MG> awk :-)

 MG> tail -f /var/log/messages | awk '/.../ {system "..."}'

 MG> Только нужно перезапускать при ротации лога. Или через пайп. Например, в
 MG> /etc/syslog.conf:

 MG> auth,authpriv.* |/var/log/fifo

 MG> Делаем:

 MG> mkfifo /var/log/fifo
 MG> awk '/sudo:.*COMMAND=\/bin\/ls/ {system ("echo ls command run")}' /var/log/fifo

 MG> Проверяем:
 MG> sudo ls

Здесь тоже придется перезапускать при ротации.

-- 
Artem Chuprina
RFC2822: <ran{}ran.pp.ru> Jabber: ran@jabber.ran.pp.ru

Ходячая энциклопедия - это девушка, которая пытается многознанием
компенсировать отсутствие мыслительных навыков (С)энта