← Back to branch summary

~ubuntu-branches/ubuntu/gutsy/logcheck/gutsy-updates

« back to all changes in this revision

Viewing changes to docs/README.logcheck-database

  • Committer: Bazaar Package Importer
  • Author(s): martin f. krafft
  • Date: 2006-11-02 22:47:48 UTC
  • Revision ID: james.westby@ubuntu.com-20061102224748-8rpga210jsji94gl
Tags: 1.2.50
http://bugs.debian.org/391665
http://bugs.debian.org/354821
* chgrp the entire /etc/logcheck tree to group logcheck if it exists during
  logcheck-database's configuration (closes: #391665).
* ignore.d.server/cron-apt: also ignore Get messages with dots in the
  component name (local repos).
* ignore.d.server/postfix, violations.ignore.d/logcheck-postfix: ignore
  redundant messages about missing maildirs (closes: #354821).
* ignore.d.server/ppp: ignore messages about modem hangups due to remote
  connection drops. You're not going to see these anyway if pppd does your
  connection, and there will be plenty other messages alerting you to the
  lack of connectivity.
* ignore.d.server/dhcp: ignore message about leased addresses which respond
  to ping requests.
* ignore.d.workstation/mldonkey: added file to ignore pretty much
  everything.

Show diffs side-by-side

added added

removed removed

Lines of Context:
docs/README.logcheck-database
12
12
There are three layers of sets of filtering rules, all of which are
13
13
normal egrep pattern-matches, applied in turn.
14
14
 
15
 
1. the "ATTACK ALERTS" layer, designed to detect the traces of active
 
15
1. the "SECURITY ALERTS" layer, designed to detect the traces of active
16
16
        intrusion attempts.
17
17
 
18
18
   Patterns raising the alarm go in "/etc/logcheck/cracking.d"; any
19
19
        event that matches one of these patterns turns the report
20
 
        into an urgent "Attack Alerts" report, with the relevant
 
20
        into an urgent "Security Alerts" report, with the relevant
21
21
        event moved to a special section.  The cracking.d standard
22
22
        keywords file is seeded with known symptoms of hostile
23
23
        activity (see logcheck's README.keywords file).
108
108
Standard "generic" rules go in each directory's "./logcheck" file;
109
109
thus for instance any log message at all matching "ATTACK"
110
110
(listed in "/etc/logcheck/cracking.d/logcheck") _always_ triggers
111
 
an "Attack Alert", unless you deliberately tamper with
 
111
a "Security Alert", unless you deliberately tamper with
112
112
"cracking.ignore.d" rules.
113
113
 
114
114
Remember that package-specific "ignore" filters will _not_ override