Как отправить уведомление OSSec на URL-адрес HTTP

Question

В настоящее время я вижу только уведомление по электронной почте, которое можно отправить для оповещений в OSSec. Есть ли способ сделать http-вызов в случае предупреждения?

Answer 1

Я не смог найти прямой способ отправить уведомление об ОСсе на URL-адрес webhook. Но я получил это с помощью logstash, который мы используем для разбора и индексации логов. Я добавил вывод logstash со следующей конфигурацией:

выход {
  if [type] == "ossec_alert" {
    http {
      http_method => "пост"
      url => "https://mythhpwebhook.com?key=1234"
      content_type => "application / json"
      mapping => ["Subject", "OSSEC Alert:% {signature}", "Message", "% {message}"]
    }
  }
}

Not: сообщение и подпись являются переменными из фильтра, примененного к вводу ossec.

Answer 2

Я обнаружил, что вы можете отправлять уведомления ossec с активными ответами: посмотрите на этот пример и этот ossec-tweeter.sh