如何将 OSSec 通知发送到 HTTP URL

Question

目前我只看到可以发送 OSSec 警报的电子邮件通知。有没有办法在出现警报时进行 http 调用？

Answer 1

我找不到任何直接的方式将 ossec 通知发送到 webhook URL。但是，我在 logstash 的帮助下完成了这项工作，我们将其用于日志解析和索引。我添加了一个具有以下配置的 logstash 输出：

output {
  if [type] == "ossec_alert" {
    http {
      http_method => "post"
      url => "https://mythhpwebhook.com?key=1234"
      content_type => "application/json"
      mapping => ["Subject", "OSSEC Alert: %{signature}", "Message", "%{message}"]
    }
  }
}

不是：消息和签名是应用于 ossec 输入的过滤器的变量。

Answer 2

我发现，您可以发送带有主动响应的 ossec 通知：看看这个 example and this ossec-tweeter.sh