rhel - 是否可以从 Wazuh 服务器远程启用/禁用规则？

Question

我已阅读有关Wazuh 中的集中式配置的信息。但是可以在服务器中启用/禁用规则而不是在所有服务器中更改吗？

标签： rhelossec

Answer 1

我在这里找到了答案..

在 ossec 模型中，代理没有任何关于规则的信息。因此，如果您需要修改规则，则需要在服务器端进行。

你怎么做呢？如果您有这样的规则（来自我们的常见问题解答）：

   ` <group name="local"> 
      <rule id="100101" level="0">
       <if_sid>123, 456</if_sid>
       <match>xyz</match>
      <description>Events ignored</description>
      </rule>
    </group>
`

但是您只希望它适用于一个代理，您需要使用“主机名”标签将其限制为您想要的代理：

<group name="local">
 <rule id="100101" level="0">
   <if_sid>123, 456</if_sid>
   <match>xyz</match>
   <hostname>agent1|agent2</hostname>
   <description>Events ignored</description>
 </rule>
</group>

希望能帮助到你。

* http://www.ossec.net/wiki/index.php/Know_How:Ignore_Rules