Re: light IDS

[Mikolaj Golub <golub@inec.kharkov.com>]

On Mon, 30 Jan 2006 17:17:24 +0300 Artem Chuprina wrote:

 MG>> tail -f /var/log/messages | awk '/.../ {system "..."}'

 MG>> Только нужно перезапускать при ротации лога. Или через пайп. Например, в
 MG>> /etc/syslog.conf:

 MG>> auth,authpriv.* |/var/log/fifo

 MG>> Делаем:

 MG>> mkfifo /var/log/fifo
 MG>> awk '/sudo:.*COMMAND=\/bin\/ls/ {system ("echo ls command run")}' /var/log/fifo

 MG>> Проверяем:
 MG>> sudo ls

 AC> Здесь тоже придется перезапускать при ротации.

Угу. Точно. Поправимся :-)

     while awk '/.../ {system (...)}' /var/log/fifo; do : ;done

-- 
to my, trociny