翻譯：http://ossec-docs.readthedocs.io/en/latest/manual/rules-decoders/rule_decoder_dir.html


規則和解碼器的目錄路徑載入


允許將檔案的整個目錄作為解碼器、列表或規則載入到ossec-anaylistd中。


用例：
可以極大地簡化使用解碼器的工作，因為可以有儘可能多的檔案。此外，還將對規則和解碼器進行打包，使其成為一個簡單的非zip/untar和重啟操作。這也將大大減少管理ossec升級指令碼所需的程式碼量。


詳細：
OSSEC語法


所有的目錄載入都是按字母順序完成的。這很像init。在檔名稱中使用數字字首會影響載入順序。檔名稱的示例和它們將被載入的順序：
1.00_sshd_rules.xml
2.01_local_sshd_rules.xml
3.99_shun_rules.xml


目錄載入


載入指定資料夾下以_rules.xml為結尾的檔案

<ossec_config>
    <rules>
        <rule_dir pattern="_rules.xml">rules</rule_dir>
 

也可寫成

<ossec_config>
    <rules>
        <rule_dir>rules</rule_dir>

在ossec中指令的申明順序，重複的檔案將不會被載入。在下面的例子中，00_setup_rules.xml總是首先載入，並且不會重複載入。

<ossec_config>
    <rules>
        <include>rules/00_setup_rules.xml</include>
        <rule_dir>rules</rule_dir>

複雜語法

• rules/

  • 00_rules_config.xml

  • 50_apache_rules.xml

  • 50_arpwatch_rules.xml

  • plugins/

    • 50_wimax_rules.xml
    • 50_wimax_decoders.xml

• etc/

  • decoder.xml
  • local_decoder.xml

這是一個將解碼器和規則分解成子目錄的例子。

<ossec_config>
    <rules>
        <decoder>etc/decoder.xml</decoder>
        <decoder_dir>rules/plugins</decoder_dir>

        <rule>rules/rules/00_rules_config.xml</rule>
        <rule_dir pattern=".xml$">rules/</rule_dir>
        <rule_dir>rules/plugins</rule_dir>
    </rules>
</ossec_config>