所以我们用我们自己的 ami 创建了一个自动缩放组，该 ami 有一个服务器和一个自动 ossec 服务，它向 slack 通道报告，问题是当一个新实例启动时，ossec 会发送很多警报，因为文件签名不同，这没关系，因为当启动新实例时，它会在新卷中重新创建 ami。
现在我如何在这些 ami 中安装 ossec，但是当启动一个新实例时，文件中的所有警报都没有更改。
我尝试在启动新实例时重新启动 ossec 服务，但它具有相同的行为，ossec 发送所有文件已更改的警报。
2 回答
0
由于您的 AMI 中包含您的 ossec 代理，我认为不可能在第一次启动时停止这些警报，因为正如您所说，这只是 ossec 在识别任何更改时所做的事情，所以我建议不要包括 ossec 代理在图像中，但或者在自动缩放组创建新实例时使用用户数据安装它，这可能会导致启动实例的额外时间，但它可能会解决您的问题。
于 2020-12-27T15:43:19.530 回答
0
解决此问题的一种方法是使用 cronjob 或 systemd 重新启动或启动混合 OSSEC 进程。
在我的例子中，我们决定在例外中添加文件夹，这样 OSSEC 就不会扫描这些文件夹。
于 2021-01-06T12:19:28.163 回答