504 lines
27 KiB
TOML
504 lines
27 KiB
TOML
###############################################################################
|
|
# РАЗДЕЛ:Защита от перебора пароля
|
|
# ***
|
|
# SECTION:Protection against password brute-force attacks
|
|
###############################################################################
|
|
[bruteForceProtection]
|
|
###
|
|
# Включает группу отслеживания перебора пароля.
|
|
# Если отключено, отслеживание перебора пароля работать не будет.
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables the password attack monitoring group.
|
|
# If disabled, password attack monitoring will not work.
|
|
# Default: true
|
|
###
|
|
enabled = true
|
|
|
|
###
|
|
# Включает уведомления об блокировок.
|
|
# Если отключено, они будут отображаться в логах только на уровне = "info".
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables notifications about blocks.
|
|
# If disabled, they will only appear in the logs under level = "info".
|
|
# Default: true
|
|
###
|
|
notify = true
|
|
|
|
###
|
|
# Максимальное количество ошибок, после которого произойдёт блокировка.
|
|
# По умолчанию: 5
|
|
# ***
|
|
# The maximum number of errors after which a blocking will occur.
|
|
# Default: 5
|
|
###
|
|
rate_limit_count = 5
|
|
|
|
###
|
|
# Насколько времени в секундах блокировать IP адрес.
|
|
# Если указать 0, то будет на всегда заблокирован.
|
|
# По умолчанию: 3600
|
|
# ***
|
|
# How long in seconds to block an IP address.
|
|
# If you specify 0, it will be blocked forever.
|
|
# Default: 3600
|
|
###
|
|
blocking_time = 3600
|
|
|
|
###
|
|
# Установите временной интервал для отслеживания сбоев входа в систему в течение секунд.
|
|
# По умолчанию: 3600
|
|
# ***
|
|
# Set the time interval to monitor login failures in seconds.
|
|
# Default: 3600
|
|
###
|
|
rate_limit_period = 3600
|
|
|
|
###
|
|
# Указываем в секундах, через какое время сбрасывать данные IP в группе _default если не было событий.
|
|
# Если указать 0, то не будет сбрасывать.
|
|
# По умолчанию: 86400
|
|
# ***
|
|
# Specify the number of seconds after which IP data in the _default group will be reset if there have been no events.
|
|
# If you specify 0, the reset will not occur.
|
|
# Default: 86400
|
|
###
|
|
rate_limit_reset_period = 86400
|
|
|
|
###
|
|
# Включает защиту от перебора пароля от ssh.
|
|
# !!! Примечание: По умолчанию SSH-сервер не регистрирует на неудачные попытки входа с использованием ключа.
|
|
# Чтобы включить отслеживание неудачных попыток входа с использованием ключа, необходимо добавить параметр
|
|
# "LogLevel VERBOSE" в настройки sshd_config !!!
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables protection against brute-force attacks against ssh.
|
|
# !!! Note: By default, the SSH server does not log unsuccessful login attempts using a key.
|
|
# To enable tracking of unsuccessful login attempts using a key, you must add the "LogLevel VERBOSE" parameter
|
|
# to the sshd_config settings !!!
|
|
# Default: true
|
|
###
|
|
ssh_enable = true
|
|
|
|
###
|
|
# Включает уведомления об блокировках, когда срабатывает защита от перебора пароля.
|
|
# Если отключено, они будут отображаться в логах только на уровне = "info".
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables block notifications when password brute-force protection is triggered.
|
|
# If disabled, they will only appear in the logs under level = "info".
|
|
# Default: true
|
|
###
|
|
ssh_notify = true
|
|
|
|
###
|
|
# Минимальный интервал в секундах между уведомлениями об успешной SSH-блокировке.
|
|
# После отправки уведомления повторные уведомления не будут отправляться в течение указанного времени.
|
|
# Если указать 0, ограничение по времени отключено.
|
|
# По умолчанию: 0
|
|
# ***
|
|
# Minimum interval in seconds between notifications about successful SSH blocks.
|
|
# After a notification is sent, repeated notifications will not be sent for the specified time.
|
|
# If you specify 0, the time limit is disabled.
|
|
# Default: 0
|
|
###
|
|
ssh_notify_cooldown_seconds = 0
|
|
|
|
###
|
|
# Количество успешных SSH-блокировок, которое нужно пропустить после отправки уведомления.
|
|
# Следующее уведомление будет отправлено после указанного количества новых сообщений о блокировке.
|
|
# Этот параметр имеет приоритет над ssh_notify_cooldown_seconds.
|
|
# Если указать 0, ограничение по количеству сообщений отключено.
|
|
# По умолчанию: 0
|
|
# ***
|
|
# Number of successful SSH block messages to skip after sending a notification.
|
|
# The next notification will be sent after the specified number of new block messages.
|
|
# This parameter has priority over ssh_notify_cooldown_seconds.
|
|
# If you specify 0, the message-count limit is disabled.
|
|
# Default: 0
|
|
###
|
|
ssh_notify_every = 0
|
|
|
|
###
|
|
# Можно указать свою группу, чтобы связать с другими правилами.
|
|
# По умолчанию: ""
|
|
# ***
|
|
# You can specify your own group to link it to other rules.
|
|
# Default: ""
|
|
###
|
|
ssh_group = ""
|
|
|
|
###
|
|
# Указываем настройки группы.
|
|
# Примеры:
|
|
# [[bruteForceProtection.groups]]
|
|
# name = "my_name_group" # Имя группы. Разрешены символы "a-z, A-Z, -, _". Первый символ обязательно буква (обязательное поле)
|
|
# message = "Любой текст группы" # Текст уведомления (обязательное поле)
|
|
# rate_limit_reset_period = 86400 # Указываем в секундах, через какое время сбрасывать данные в групе, если не было событий. Если указать 0, то не будет сбрасывать.
|
|
## block_type = "ip_port" # Указываем тип блокировки: ip, ip_port. Если ничего не укажите, будет указан тип ip.
|
|
## ports = ["22/tcp", "22/udp"] # Если тип блокировки стоит ip_port, то нужно указать порты, которые будут заблокированы после обнаружения попытки перебора пароля.
|
|
# [[bruteForceProtection.groups.rate_limits]]
|
|
## Через сколько будет срабатывать блокировка. В данном случае в течение часа, если было 5 обнаружений, то сработает блокировка.
|
|
## И заблокирует на 10 минут.
|
|
# count = 5
|
|
# period = 3600
|
|
# blocking_time = 600
|
|
## Внутри bruteForceProtection.groups.rate_limits можно переопределить настройки block_type и ports.
|
|
## block_type = "ip_port" # Указываем тип блокировки: ip, ip_port. Если ничего не укажите, будет указан тип ip.
|
|
## ports = ["22/tcp", "22/udp", "80/tcp", "443/tcp"] # Если тип блокировки стоит ip_port, то нужно указать порты, которые будут заблокированы после обнаружения попытки перебора пароля.
|
|
# [[bruteForceProtection.groups.rate_limits]]
|
|
## После срабатывания блокировки, переходим на второй уровень, тепер если в течение часа было 3 обнаружений, то сработает блокировка.
|
|
## И теперь заблокирует на час.
|
|
# count = 3
|
|
# period = 3600
|
|
# blocking_time = 3600
|
|
# [[bruteForceProtection.groups.rate_limits]]
|
|
## И таких уровней можно указыват сколько захотите.
|
|
# count = 2
|
|
# period = 600
|
|
# blocking_time = 3600
|
|
#
|
|
# ***
|
|
# Specify group settings.
|
|
# Examples:
|
|
# [[bruteForceProtection.groups]]
|
|
# name = "my_name_group" # Group name. Allowed characters are "a-z, A-Z, -, _". The first character must be a letter (required)
|
|
# message = "Any group text" # Notification text (required)
|
|
# rate_limit_reset_period = 86400 # Specify, in seconds, how long to reset group data if there have been no events. Specifying 0 means no reset.
|
|
## block_type = "ip_port" # Specify the blocking type: IP, IP_port. If you don't specify anything, the IP type will be used.
|
|
## ports = ["22/tcp", "22/udp"] # If the blocking type is ip_port, then you need to specify the ports that will be blocked after detecting a password brute-force attempt.
|
|
# [[bruteForceProtection.groups.rate_limits]]
|
|
## How long will it take for the block to be triggered? In this case, if there were 5 detections within an hour, the block will be triggered.
|
|
## And it will block for 10 minutes.
|
|
# count = 5
|
|
# period = 3600
|
|
# blocking_time = 600
|
|
## Inside bruteForceProtection.groups.rate_limits you can override the block_type and ports settings.
|
|
## block_type = "ip_port" # Specify the blocking type: IP, IP_port. If you don't specify anything, the IP type will be used.
|
|
## ports = ["22/tcp", "22/udp", "80/tcp", "443/tcp"] # If the blocking type is ip_port, then you need to specify the ports that will be blocked after detecting a password brute-force attempt.
|
|
# [[bruteForceProtection.groups.rate_limits]]
|
|
## After the blocking is triggered, we move to the second level. Now, if there are three detections within an hour, the blocking will be triggered.
|
|
## And now it will block for an hour.
|
|
# count = 3
|
|
# period = 3600
|
|
# blocking_time = 3600
|
|
# [[bruteForceProtection.groups.rate_limits]]
|
|
## You can specify as many of these levels as you like.
|
|
# count = 2
|
|
# period = 600
|
|
# blocking_time = 3600
|
|
###
|
|
|
|
###
|
|
# Указываем настройки логов, которые надо отслеживать для защиты от перебора пароля.
|
|
# Примеры:
|
|
# [[bruteForceProtection.rules]]
|
|
# enabled = true # Включает или выключает отслеживания (обязательное поле)
|
|
# notify = true # Включает или выключает уведомления (обязательное поле)
|
|
# notify_cooldown_seconds = 0 # Минимальный интервал в секундах между уведомлениями об успешной блокировке (не обязательное поле)
|
|
# notify_every = 0 # Количество успешных блокировок, которое нужно пропустить после отправки уведомления (не обязательное поле)
|
|
# name = "my_name_rule" # Имя уведомления. Разрешены символы "a-z, A-Z, -, _". Первый символ обязательно буква (обязательное поле)
|
|
# message = "Ваш любой текст для уведомления" # Текст уведомления (обязательное поле)
|
|
# group = "my_name_group" # Можно указать имя группы (не обязательное поле)
|
|
# [bruteForceProtection.rules.source]
|
|
# type = "journalctl" # journalctl или file (обязательное поле)
|
|
# path = "" # Указываем путь к файлу (обязательное поле если type = "file")
|
|
# field = "systemd_unit" # systemd_unit или syslog_identifier (обязательное поле если type = "journalctl")
|
|
# match = "ssh.service" # Значение (обязательное поле если type = "journalctl")
|
|
# если field = "systemd_unit", то match должен заканичваться: .service, .socket, .target, .mount, .timer, .path, .scope, .slice, .device
|
|
# [[bruteForceProtection.rules.patterns]]
|
|
# regexp = '^Failed password for (\S+) from (\S+) port \S+'
|
|
# ip = 2 # Указываем номер value, который укажет IP (обязательное поле)
|
|
# [[bruteForceProtection.rules.patterns.values]]
|
|
# name = "Пользователь"
|
|
# value = 1
|
|
# [bruteForceProtection.rules.patterns.partition] # (необязательный параметр) если надо разделить по ключевым словам
|
|
# value = 1 # Номер поля, по которому мы получаем ключевое слова
|
|
# trim = true # Убирает у ключевого слова пробелы вначале и в конце
|
|
# lower_case = true # Ключевое слово приводит к нижнему регистру
|
|
# [bruteForceProtection.rules.patterns.partition.type] # (необязательный параметр)
|
|
# type = "only" # Допустимые значения "only" или "except"
|
|
# keywords = ["root", "user"] # Указываем ключевые слова
|
|
# partitioned = false # Если нужно, чтобы каждое ключевое слово считалось независимо от друг-друга, то указываем true
|
|
# ***
|
|
# Specify the log settings that need to be monitored to protect against password brute-force attacks.
|
|
# Examples:
|
|
# [[bruteForceProtection.rules]]
|
|
# enabled = true # Enables or disables tracking (required)
|
|
# notify = true # Enables or disables notifications (required)
|
|
# notify_cooldown_seconds = 0 # Minimum interval in seconds between notifications about successful blocks (optional field)
|
|
# notify_every = 0 # Number of successful block messages to skip after sending a notification (optional field)
|
|
# name = "my_name_rule" # Notification name. Allowed characters are "a-z, A-Z, -, _". The first character must be a letter (required field)
|
|
# message = "Your any text for notification" # Notification text (required field)
|
|
# group = "my_name_group" # You can specify the group name (optional field)
|
|
# [bruteForceProtection.rules.source]
|
|
# type = "journalctl" # journalctl or file (required)
|
|
# path = "" # Specify the path to the file (required field if type = "file")
|
|
# field = "systemd_unit" # systemd_unit or syslog_identifier (required if type = "journalctl")
|
|
# match = "ssh.service" # Value (required if type = "journalctl")
|
|
# If field = "systemd_unit", then match must end with: .service, .socket, .target, .mount, .timer, .path, .scope, .slice, .device
|
|
# [[bruteForceProtection.rules.patterns]]
|
|
# regexp = '^Accepted (\S+) for (\S+) from (\S+) port \S+'
|
|
# [[bruteForceProtection.rules.patterns]]
|
|
# regexp = '^Failed password for (\S+) from (\S+) port \S+'
|
|
# ip = 2 # We indicate the value number that will indicate the IP (required field)
|
|
# [[bruteForceProtection.rules.patterns.values]]
|
|
# name = "User"
|
|
# value = 1
|
|
# [bruteForceProtection.rules.patterns.partition] # (optional) if you want to split by keywords
|
|
# value = 1 # Field number by which to get the keyword
|
|
# trim = true # Removes leading and trailing spaces from the keyword
|
|
# lower_case = true # Converts the keyword to lowercase
|
|
# [bruteForceProtection.rules.patterns.partition.type] # (optional)
|
|
# type = "only" # Acceptable values are "only" or "except"
|
|
# keywords = ["root", "user"] # Specify the keywords
|
|
# partitioned = false # If you want each keyword to be considered independently, specify true
|
|
###
|
|
|
|
###############################################################################
|
|
# РАЗДЕЛ:Отслеживать авторизаций
|
|
# ***
|
|
# SECTION:Track authorizations
|
|
###############################################################################
|
|
[login]
|
|
###
|
|
# Включает группу отслеживания авторизации.
|
|
# Если отключено, отслеживание авторизации работать не будет.
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables the authorization tracking group.
|
|
# If disabled, no authorization tracking will work.
|
|
# Default: true
|
|
###
|
|
enabled = true
|
|
|
|
###
|
|
# Включает уведомления об авторизации.
|
|
# Если отключено, они будут отображаться в логах только на уровне = "info".
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables authorization notifications.
|
|
# If disabled, they will only appear in the logs under level = "info".
|
|
# Default: true
|
|
###
|
|
notify = true
|
|
|
|
###
|
|
# Включает отслеживание авторизации по ssh.
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables tracking of SSH authorization.
|
|
# Default: true
|
|
###
|
|
ssh_enable = true
|
|
|
|
###
|
|
# Включает уведомления об авторизации по ssh.
|
|
# Если отключено, они будут отображаться в логах только на уровне = "info".
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables SSH authorization notifications.
|
|
# If disabled, they will only appear in the logs under level = "info".
|
|
# Default: true
|
|
###
|
|
ssh_notify = true
|
|
|
|
###
|
|
# Включает отслеживание локальных авторизаций (TTY, физический доступ).
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables tracking of local authorizations (TTY, physical access).
|
|
# Default: true
|
|
###
|
|
local_enable = true
|
|
|
|
###
|
|
# Включает уведомления о локальных авторизациях.
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables local authorization notifications.
|
|
# Default: true
|
|
###
|
|
local_notify = true
|
|
|
|
###
|
|
# Включает отслеживание, если кто-либо использует команду `su` для доступа к другой учетной записи.
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables tracking if someone uses the `su` command to access another account.
|
|
# Default: true
|
|
###
|
|
su_enable = true
|
|
|
|
###
|
|
# Включает уведомления, если кто-либо использует команду `su` для доступа к другой учетной записи.
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables notifications if someone uses the `su` command to access another account.
|
|
# Default: true
|
|
###
|
|
su_notify = true
|
|
|
|
###
|
|
# Включает отслеживание, если кто-либо использует команду `sudo` для доступа к другой учетной записи.
|
|
#
|
|
# ПРИМЕЧАНИЕ: Эта опция может стать обременительной, если команда sudo широко используется
|
|
# для получения root-доступа администраторами или панелями управления.
|
|
#
|
|
# По умолчанию: false
|
|
# ***
|
|
# Enables tracking if someone uses the `sudo` command to access another account.
|
|
#
|
|
# NOTE: This option could become onerous if sudo is used extensively for root
|
|
# access by administrators or control panels.
|
|
#
|
|
# Default: false
|
|
###
|
|
sudo_enable = false
|
|
|
|
###
|
|
# Включает уведомления, если кто-либо использует команду `sudo` для доступа к другой учетной записи.
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables notifications if someone uses the `sudo` command to access another account.
|
|
# Default: true
|
|
###
|
|
sudo_notify = true
|
|
|
|
###############################################################################
|
|
# РАЗДЕЛ:Настройки анализа логов для уведомления
|
|
# ***
|
|
# SECTION:Log analysis settings for notifications
|
|
###############################################################################
|
|
[logAlert]
|
|
###
|
|
# Включает группу отслеживания логов для оповещения.
|
|
# Если отключено, отслеживание логов для оповещения работать не будет.
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables the log monitoring group for alerts.
|
|
# If disabled, log monitoring for alerts will not work.
|
|
# Default: true
|
|
###
|
|
enabled = true
|
|
|
|
###
|
|
# Включает уведомления.
|
|
# Если отключено, они будут отображаться в логах только на уровне = "info".
|
|
# По умолчанию: true
|
|
# ***
|
|
# Enables notifications.
|
|
# If disabled, they will only appear in the logs under level = "info".
|
|
# Default: true
|
|
###
|
|
notify = true
|
|
|
|
###
|
|
# Указываем настройки группы.
|
|
# Примеры:
|
|
# [[logAlert.groups]]
|
|
# name = "my_name_group" # Имя группы. Разрешены символы "a-z, A-Z, -, _". Первый символ обязательно буква (обязательное поле)
|
|
# message = "Любой текст группы" # Текст уведомления (обязательное поле)
|
|
# rate_limit_reset_period = 86400 # Указываем в секундах, через какое время сбрасывать данные в групе если не было событий. Если указать 0, то не будет сбрасывать.
|
|
# [[logAlert.groups.rate_limits]]
|
|
## Через сколько будет срабатывать оповещение. В данном случае в течение часа, если было 5 обнаружений, то сработает оповещение.
|
|
# count = 5
|
|
# period = 3600
|
|
# [[logAlert.groups.rate_limits]]
|
|
## После срабатывания оповещения, переходим на второй уровень, тепер если в течение часа было 3 обнаружений, то сработает оповещение.
|
|
# count = 3
|
|
# period = 3600
|
|
# [[logAlert.groups.rate_limits]]
|
|
## И таких уровней можно указыват сколько захотите.
|
|
# count = 2
|
|
# period = 600
|
|
#
|
|
# ***
|
|
# Specify group settings.
|
|
# Examples:
|
|
# [[logAlert.groups]]
|
|
# name = "my_name_group" # Group name. Allowed characters are "a-z, A-Z, -, _". The first character must be a letter (required)
|
|
# message = "Any group text" # Notification text (required)
|
|
# rate_limit_reset_period = 86400 # Specify, in seconds, how long to reset group data if there have been no events. Specifying 0 means no reset.
|
|
# [[logAlert.groups.rate_limits]]
|
|
## How long to wait before an alert is triggered. In this case, if there were 5 detections within an hour, the alert will be triggered. # count = 5
|
|
# count = 5
|
|
# period = 3600
|
|
# [[logAlert.groups.rate_limits]]
|
|
## After the alert is triggered, we move to the second level. Now, if there are 3 detections within an hour, the alert will be triggered.
|
|
# count = 3
|
|
# period = 3600
|
|
# [[logAlert.groups.rate_limits]]
|
|
## You can specify as many of these levels as you like.
|
|
# count = 2
|
|
# period = 600
|
|
###
|
|
|
|
###
|
|
# Указываем настройки логов, которые надо отслеживать для оповещения.
|
|
# Примеры:
|
|
# [[logAlert.rules]]
|
|
# enabled = true # Включает или выключает отслеживания (обязательное поле)
|
|
# notify = true # Включает или выключает уведомления (обязательное поле)
|
|
# name = "my_name_rule" # Имя уведомления. Разрешены символы "a-z, A-Z, -, _". Первый символ обязательно буква (обязательное поле)
|
|
# message = "Ваш любой текст для уведомления" # Текст уведомления (обязательное поле)
|
|
# group = "my_name_group" # Можно указать имя группы (не обязательное поле)
|
|
# [logAlert.rules.source]
|
|
# type = "journalctl" # journalctl или file (обязательное поле)
|
|
# path = "" # Указываем путь к файлу (обязательное поле если type = "file")
|
|
# field = "systemd_unit" # systemd_unit или syslog_identifier (обязательное поле если type = "journalctl")
|
|
# match = "ssh.service" # Значение (обязательное поле если type = "journalctl")
|
|
# если field = "systemd_unit", то match должен заканичваться: .service, .socket, .target, .mount, .timer, .path, .scope, .slice, .device
|
|
# [[logAlert.rules.patterns]]
|
|
# regexp = '^Accepted (\S+) for (\S+) from (\S+) port \S+'
|
|
# [[logAlert.rules.patterns.values]]
|
|
# name = "Пользователь"
|
|
# value = 2
|
|
# [[logAlert.rules.patterns.values]]
|
|
# name = "IP"
|
|
# value = 3
|
|
# type = "ip"
|
|
# [logAlert.rules.patterns.partition] # (необязательный параметр) если надо разделить по ключевым словам
|
|
# value = 2 # Номер поля, по которому мы получаем ключевое слова
|
|
# trim = true # Убирает у ключевого слова пробелы вначале и в конце
|
|
# lower_case = true # Ключевое слово приводит к нижнему регистру
|
|
# [logAlert.rules.patterns.partition.type] # (необязательный параметр)
|
|
# type = "only" # Допустимые значения "only" или "except"
|
|
# keywords = ["root", "user"] # Указываем ключевые слова
|
|
# partitioned = false # Если нужно, чтобы каждое ключевое слово считалось независимо от друг-друга, то указываем true
|
|
#
|
|
# ***
|
|
# Specify the log settings to monitor for notifications.
|
|
# Examples:
|
|
# [[logAlert.rules]]
|
|
# enabled = true # Enables or disables tracking (required)
|
|
# notify = true # Enables or disables notifications (required)
|
|
# name = "my_name_rule" # Notification name. Allowed characters are "a-z, A-Z, -, _". The first character must be a letter (required field)
|
|
# message = "Your any text for notification" # Notification text (required field)
|
|
# group = "my_name_group" # You can specify the group name (optional field)
|
|
# [logAlert.rules.source]
|
|
# type = "journalctl" # journalctl or file (required)
|
|
# path = "" # Specify the path to the file (required field if type = "file")
|
|
# field = "systemd_unit" # systemd_unit or syslog_identifier (required if type = "journalctl")
|
|
# match = "ssh.service" # Value (required if type = "journalctl")
|
|
# If field = "systemd_unit", then match must end with: .service, .socket, .target, .mount, .timer, .path, .scope, .slice, .device
|
|
# [[logAlert.rules.patterns]]
|
|
# regexp = '^Accepted (\S+) for (\S+) from (\S+) port \S+'
|
|
# [[logAlert.rules.patterns.values]]
|
|
# name = "User"
|
|
# value = 2
|
|
# [[logAlert.rules.patterns.values]]
|
|
# name = "IP"
|
|
# value = 3
|
|
# type = "ip"
|
|
# [logAlert.rules.patterns.partition] # (optional) if you want to split by keywords
|
|
# value = 2 # Field number by which we get the keyword
|
|
# trim = true # Removes leading and trailing spaces from the keyword
|
|
# lower_case = true # Converts the keyword to lowercase
|
|
# [logAlert.rules.patterns.partition.type] # (optional)
|
|
# type = "only" # Acceptable values are "only" or "except"
|
|
# keywords = ["root", "user"] # Specify the keywords
|
|
# partitioned = false # If you want each keyword to be counted independently, specify true
|
|
###
|