OSSIM плагин для домашнего маршрутизатора ASUS

Это так, чисто поржать. Плагин для домашнего рутера ASUS RT-AC52U.
Но работает вполне серьезно 🙂
/etc/ossim/agent/plugins/asus-rt-ac52.cfg

# Alienvault plugin
# Author: Eugene Sokolov at esguardian@outlook.com
# Plugin asus-rt-ac52 id:9008 version: 0.0.2
# Last modification: 2015-07-12 16:10
#
# Accepted products:
# asus RT-AC52U wifi router
# 
# /etc/rsyslog.d/myasus.conf
# if $fromhost-ip == '192.168.10.1' then /var/log/asus.log
# &~
#

[DEFAULT]
plugin_id=9008

[config]
type=detector
enable=yes
source=log
location=/var/log/asus.log

create_file=false

process=
start=yes
stop=no
startup=
shutdown=

[asus-001]
event_type=event
regexp="(?P\SYSLOG_DATE).+IPv4\sOrg\sIP/Port:\s(?P.+?):(?P.+?)->(?P.+?):(?P.+?)\s"
src_ip={$src_ip}
src_port={$src_port}
dst_ip={$dst_ip}
dst_port={$dst_port}
plugin_sid=1
date={normalize_date($time)}

[asus-002]
event_type=event
regexp="(?P\SYSLOG_DATE).*?dnsmasq-dhcp\[273\]:\sDHCPACK\Sbr0\S\s(?P.*?)\s(?P.*?)\s(?P.*?)\s"
src_ip={$src_ip}
plugin_sid=2
date={normalize_date($time)}
userdata1={$src_mac}
userdata2={$src_name}

/usr/local/bin/asus-rt-ac52.sql

-- asus-rt-ac52
-- plugin_id: 9008

DELETE FROM plugin WHERE id = "9008";
DELETE FROM plugin_sid where plugin_id = "9008";

INSERT IGNORE INTO plugin (id, type, name, description) VALUES (9008, 1, 'asus-rt-ac52', 'asus access');

INSERT IGNORE INTO plugin_sid (plugin_id, sid, category_id, class_id, name, priority, reliability) VALUES (9008, 1, NULL, NULL, 'Internet access',1, 3);
INSERT IGNORE INTO plugin_sid (plugin_id, sid, category_id, class_id, name, priority, reliability) VALUES (9008, 2, NULL, NULL, 'Address assigned',1, 3);

use:

cat /usr/local/bin/asus-rt-ac52.sql|ossim-db
/etc/init.d/ossim-server restart
/etc/init.d/ossim-agent restart

 

Реклама

Добавить комментарий

Заполните поля или щелкните по значку, чтобы оставить свой комментарий:

Логотип WordPress.com

Для комментария используется ваша учётная запись WordPress.com. Выход /  Изменить )

Google+ photo

Для комментария используется ваша учётная запись Google+. Выход /  Изменить )

Фотография Twitter

Для комментария используется ваша учётная запись Twitter. Выход /  Изменить )

Фотография Facebook

Для комментария используется ваша учётная запись Facebook. Выход /  Изменить )

w

Connecting to %s