comment前回の記事では同じIPアドレスからの連続POSTを検知するOSSECのルール定義について書きました。今回は同じIPアドレスに加えて、同じPort番号からの連続POSTを検知する場合について書こうと思います。OSSECの監視対象ログはApacheのアクセスログとします。OSSEC、ApacheとOSのバージョンは以下のとおりです。14.04ApacheのLogFormatを変更する同じPort番号からのアクセスであることをOSSECが検知するためには、ApacheのアクセスログにPort番号が出力されている必要があります。192.168.0.1:52998)が出力されます。combinedOSSECのデコーダを定義する送信元Port番号を出力するApacheのLogFormatをOSSECが解釈できるようにデコーダを定義します。デコーダを定義します。id</order></decoder>デコーダを定義したらOSSECを再起動します。Apacheのアクセスログが定義したデコーダで解釈されるかを確認します。decoding.」を見ると、定義したデコーダ「web-accesslog-custom」で解釈されていることが分かります。(same_src_port)という条件を加えると以下のようになります。“POST」にマッチ)があった場合に検知します。(2016/12/9)で公式ドキュメントでは「same_sourse_port」と記載されていますが、「same_src_port」としなければ動作しませんでした。OSSECの詳細については公式ドキュメントを参照してください。コメントをキャンセルメールアドレスが公開されることはありません。*サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。