Журнал анализаторының параметрлері (analyzer.toml)

Әдепкі бойынша, журнал анализаторының параметрлері осында:

/etc/kor-elf-shield/analyzer.toml

Бұл параметрлердің жолын негізгі параметрлерде өзгертуге болады және мұнда танысуға болады (параметр analyzer).

Толыққанды көшірмесі параметрлер файлы осында.

Бұл файлда бірнеше бөлімдер бар:

Құпия сөзді асыра пайдаланудан қорғау

Алдымен осы бөлімнің параметрлерін көрсету [bruteForceProtection]керек, содан кейін осы бөлімнің қалған параметрлерін көрсету керек. Мысал:

[bruteForceProtection]
enabled = true
notify = true
rate_limit_count = 5
blocking_time = 3600
blocking_time = 3600
rate_limit_reset_period = 86400
Параметр enabled
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Құпия сөздің асып кетуін бақылау тобын қамтиды. Егер өшірілген болса, парольді шамадан тыс бақылау жұмыс істемейді.
true  - қамтиды
false - өшіреді
Мысалдар 
enabled = true
enabled = false
Параметр notify
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Құлыптау туралы хабарландыруларды қамтиды. Егер өшірілген болса, олар журналдарда тек деңгейде көрсетіледі = "info".
true  - қамтиды
false - өшіреді
Мысалдар 
notify = true
notify = false
Параметр rate_limit_count
Мағынасы 1-ден
Әдепкі бойынша 5
Сипаттама Құлыптау орын алатын қателердің максималды саны.
Мысалдар 
rate_limit_count = 5
rate_limit_count = 3
Параметр blocking_time
Мағынасы 0 бастап
Әдепкі бойынша 3600
Сипаттама IP мекенжайы құлыпталатын секундтардағы уақыт. 0 көрсеткіші оның тұрақты құлыпталуына әкеледі.
Мысалдар 
blocking_time = 3600
blocking_time = 600
blocking_time = 0
Параметр rate_limit_period
Мағынасы 1-ден
Әдепкі бойынша 3600
Сипаттама Кіру ақауларын бірнеше секунд ішінде бақылау үшін уақыт аралығын орнатыңыз.
Мысалдар 
rate_limit_period = 3600
rate_limit_period = 600
Параметр rate_limit_reset_period
Мағынасы 0 бастап
Әдепкі бойынша 86400
Сипаттама Егер оқиғалар болмаса, _default тобында IP деректерін қанша уақыттан кейін қалпына келтіру керектігін секундтармен көрсетіңіз. Егер сіз 0-ді көрсетсеңіз, ол қалпына келтірілмейді.
Мысалдар 
rate_limit_reset_period = 3600
rate_limit_reset_period = 86400
rate_limit_reset_period = 0
Параметр ssh_enable
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Құпия сөзден қорғауды қамтиды ssh.
true  - қамтиды
false - өшіреді
Мысалдар 
ssh_enable = true
ssh_enable = false
Параметр ssh_notify
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Құпия сөзден қорғау іске қосылған кезде құлыптау туралы хабарландыруларды қамтиды. Егер өшірілген болса, олар журналдарда тек деңгейде көрсетіледі = "info".
true  - қамтиды
false - өшіреді
Мысалдар 
ssh_notify = true
ssh_notify = false
Параметр ssh_notify_cooldown_seconds
Мағынасы 0 бастап
Әдепкі бойынша 0
Сипаттама Сәтті SSH құлпы туралы хабарландырулар арасындағы ең аз секунд аралығы. Хабарлама жіберілгеннен кейін қайта хабарландырулар көрсетілген уақыт ішінде жіберілмейді. Егер сіз 0-ді көрсетсеңіз, хабарландырулардың уақыт шегі өшіріледі.
Мысалдар 
ssh_notify_cooldown_seconds = 0
ssh_notify_cooldown_seconds = 86400
Параметр ssh_notify_every
Мағынасы 0 бастап
Әдепкі бойынша 0
Сипаттама Хабарлама жібергеннен кейін өткізіп жіберуге болатын сәтті SSH құлыптарының саны. Келесі хабарлама Жаңа бұғаттау туралы хабарламалардың көрсетілген санынан кейін жіберіледі. Бұл параметр басымдыққа ие ssh_notify_cooldown_seconds. Егер 0 көрсетілсе, хабарламалар санына шектеу өшіріледі.
Мысалдар 
ssh_notify_every = 0
ssh_notify_every = 10
Параметр ssh_group
Мағынасы name Бастап топтарды көрсетіңіз [[bruteForceProtection.groups]]
Әдепкі бойынша  
Сипаттама Басқа ережелермен байланыстыру үшін өз тобыңызды көрсетуге болады.
Мысалдар 
ssh_group = ""
ssh_group = "new_group"

Құпия сөзден қорғау (топтарды орнату)

Егер сіз өз топтарыңызды қосқыңыз келсе. Алдымен осы бөлімнің параметрлерін көрсету [[bruteForceProtection.groups]]керек, содан кейін осы бөлімнің қалған параметрлерін көрсету керек.

Параметр [[bruteForceProtection.groups]]
Мағынасы Топ параметрлерін көрсетіңіз.
Әдепкі бойынша  
Сипаттама

Бұл құпия сөздің асып кетуінен қорғауға арналған параметрлер тобы. [[bruteForceProtection.groups]] топтардың шексіз санын көрсетуге болады.

[[bruteForceProtection.groups]]
name - Топ Атауы бірегей болуы керек және таңбаларға рұқсат етіледі: a-z, A-Z, -, _ (міндетті өріс)
message - Хабарлама мәтіні (міндетті өріс)
rate_limit_reset_period - Егер оқиғалар болмаса, топтағы деректерді қанша уақыттан кейін қалпына келтіру керектігін секундтармен көрсетіңіз. Егер сіз 0-ді көрсетсеңіз, хабарландырулардың уақыт шегі өшіріледі.
block_type - Құлыптау түрін көрсетіңіз: ip, ip_port. Егер ештеңе көрсетілмесе, түрі көрсетіледі ip. (міндетті өріс емес)
ports - Егер құлыптау түрі тұрса ip_port, парольді асыра пайдалану әрекеті анықталғаннан кейін құлыпталатын порттарды көрсету керек.
[[bruteForceProtection.groups.rate_limits]] (бірнеше көрсетуге болады)
count - Құлыптау орын алатын қателердің максималды саны.
period - Кіру ақауларын бірнеше секунд ішінде бақылау үшін уақыт аралығын орнатыңыз. 
blocking_time - IP мекенжайы құлыпталатын секундтардағы уақыт. 0 көрсеткіші оның тұрақты құлыпталуына әкеледі.
Ішінде [[bruteForceProtection.groups.rate_limits]] параметрлерді block_type қайта анықтауға болады және. ports
block_type - Құлыптау түрін көрсетіңіз: ip, ip_port. Егер ештеңе көрсетілмесе, түрі көрсетіледі ip. (міндетті өріс емес)
ports - Егер құлыптау түрі тұрса ip_port, парольді асыра пайдалану әрекеті анықталғаннан кейін құлыпталатын порттарды көрсету керек.
Мысалдар 
[[bruteForceProtection.groups]]
name = "my_name_group"
message = "Любой текст группы"
rate_limit_reset_period = 86400
block_type = "ip_port"
ports = ["21/tcp", "21/udp"]
[[bruteForceProtection.groups.rate_limits]]
count = 5
period = 3600
blocking_time = 600
[[bruteForceProtection.groups.rate_limits]]
count = 3
period = 3600
blocking_time = 3600
[[bruteForceProtection.groups.rate_limits]]
count = 2
period = 18000
blocking_time = 36000
block_type = "ip"

Мұнда біз бірнеше нәрсені көрсеттік [[bruteForceProtection.groups.rate_limits]]. Бұл уақытша құлыптан кейін осы топтағы IP мекенжайы келесі деңгейге өтетінін білдіреді [[bruteForceProtection.groups.rate_limits]].

1 деңгей ережелер бойынша жұмыс істейді, егер IP мекенжайы 5 сәтсіз кіру әрекетін жасаса, онда әрекеттер арасында бір сағаттан аз уақыт болса, онда ол 10 минутқа бұғатталады. Бұл IP мекенжайы үшін тек 21 I порты бұғатталады TCP UDPжәне IP мекенжайы келесі деңгейге ауыстырылады.

2 деңгей ережелер бойынша жұмыс істейді, егер IP мекенжайы 3 сәтсіз кіру әрекетін жасаған болса, онда әрекеттер арасында бір сағаттан аз уақыт болса, онда ол бір сағатқа бұғатталады. Бұл IP мекенжайы үшін тек 21 I порты бұғатталады TCP UDPжәне IP мекенжайы келесі деңгейге ауыстырылады.

3 деңгей ережелер бойынша жұмыс істейді, егер IP мекенжайы 2 сәтсіз кіру әрекетін жасаса, онда әрекеттер арасында 5 сағаттан аз уақыт болса, онда ол 10 сағатқа бұғатталады. Бұл жолы осы IP мекенжайы үшін барлық порттар бұғатталады. Ал IP мекенжайы келесі деңгейге ауыстырылады.

4 деңгей болмағандықтан, бұл IP мекен-жайы үшін тек 3 деңгей қабылданады. rate_limit_reset_period = 86400Бірақ егер бір тәулік ішінде () осы IP мекен-жайдан тіркелген сәтсіз авторизациялар болмаса, онда ол қайтадан 1 деңгейге өтеді.

Тағы бір мысал:

[[bruteForceProtection.groups]]
name = "my_name_group"
message = "Any message"
rate_limit_reset_period = 86400
[[bruteForceProtection.groups.rate_limits]]
count = 10
period = 3600
blocking_time = 600

[[bruteForceProtection.groups]]
name = "my_name_group 2"
message = "Any message 2"
rate_limit_reset_period = 3600
block_type = "ip"
[[bruteForceProtection.groups.rate_limits]]
count = 3
period = 60
blocking_time = 600
block_type = "ip_port"
ports = ["80/tcp", "443/tcp"]
[[bruteForceProtection.groups.rate_limits]]
count = 3
period = 60
blocking_time = 1800

[[bruteForceProtection.groups]]
name = "my_name_group 3"
message = "Any message 3"
rate_limit_reset_period = 604800
[[bruteForceProtection.groups.rate_limits]]
count = 10
period = 600
blocking_time = 600
[[bruteForceProtection.groups.rate_limits]]
count = 10
period = 3600
blocking_time = 600
[[bruteForceProtection.groups.rate_limits]]
count = 5
period = 3600
blocking_time = 3600
[[bruteForceProtection.groups.rate_limits]]
count = 3
period = 3600
blocking_time = 86400
[[bruteForceProtection.groups.rate_limits]]
count = 1
period = 3600
blocking_time = 86400

Құпия сөзден қорғау (журналды талдау ережелерін орнату)

Егер сіз сәтсіз кірістерді журналдар арқылы бақылау үшін параметрлерді қосқыңыз келсе. Алдымен осы бөлімнің параметрлерін көрсету [[bruteForceProtection.rules]]керек, содан кейін осы бөлімнің қалған параметрлерін көрсету керек.

Параметр [[bruteForceProtection.rules]]
Мағынасы Біз журналдарды талдауға арналған ережелер параметрлерін көрсетеміз.
Әдепкі бойынша  
Сипаттама

[[bruteForceProtection.rules]] ережелердің шексіз санын көрсетуге болады.

[[bruteForceProtection.rules]]
enabled - Бақылауды қосады немесе өшіреді (міндетті өріс)
notify - Хабарландыруларды қосады немесе өшіреді (міндетті өріс)
notify_cooldown_seconds - Сәтті құлыптау туралы хабарландырулар арасындағы секундтардың минималды аралығы (міндетті өріс емес)
notify_every - Хабарлама жібергеннен кейін өткізіп жіберуге болатын сәтті құлыптардың саны (міндетті өріс емес)
name - Хабарламаның аты. Рұқсат етілген таңбалар: a-z, A-Z, -, _.  Атау ерекше болуы керек. Бірінші таңба міндетті түрде әріп (міндетті өріс)
message - Хабарлама мәтіні (міндетті өріс)
group - Топтың атын көрсетуге болады (міндетті өріс емес)
[bruteForceProtection.rules.source] Журнал көзін орнату
type - journalctl немесе file (міндетті өріс)
path - Файл жолы (міндетті өріс Егер type = "file")
field - systemd_unit немесе syslog_identifier (егер міндетті өріс type = "journalctl")
match - Мәні (егер міндетті өріс type = "journalctl")
Егер field = "systemd_unit", онда match аяқталуы керек: .service, .socket, .target, .mount, .timer, .path, .scope, .slice, .device
[[bruteForceProtection.rules.patterns]] реттеу параметрлері, бірнеше болуы мүмкін
regexp - Өз ережеңізді көрсетіңіз (міндетті өріс)
ip - Тұрақты нөмірді көрсетіңіз (санақ 1-ден басталады) , ол IP (міндетті өріс)көрсетеді
[[bruteForceProtection.rules.patterns.values]] Егер сіз хабарландыруларда тұрақты түрде алуға болатын тағы бірнеше өрістерді көрсеткіңіз келсе
name - Өріс атауы
value - Тұрақты нөмірді көрсетіңіз (санау 1-ден басталады)
Мысалдар 
[[bruteForceProtection.rules]]
enabled = true
notify = true
notify_cooldown_seconds = 0
notify_every = 0
name = "my_name_rule"
message = "Any message"
group = "my_name_group"
[bruteForceProtection.rules.source]
type = "journalctl"
field = "systemd_unit"
match = "ssh.service"
[[bruteForceProtection.rules.patterns]]
regexp = '^Failed password for (\S+) from (\S+) port \S+'
ip = 2
[[bruteForceProtection.rules.patterns.values]]
name = "User"
value = 1

Тағы бір мысал:

[[bruteForceProtection.rules]]
enabled = true
notify = true
notify_cooldown_seconds = 0
notify_every = 0
name = "Name 1"
message = "Message 1"
group = "group"
[bruteForceProtection.rules.source]
type = "journalctl"
field = "syslog_identifier"
match = "test"
[[bruteForceProtection.rules.patterns]]
regexp = '^Login attempt for: (\S+) from: (\S+)\/\S+\s+failed'
ip = 2
[[bruteForceProtection.rules.patterns.values]]
name = "Login"
value = 1


[[bruteForceProtection.rules]]
enabled = true
notify = true
notify_cooldown_seconds = 0
notify_every = 0
name = "Name 2"
message = "Message 2"
group = "group 2"
[bruteForceProtection.rules.source]
type = "file"
path = "/var/log/test.log"
[[bruteForceProtection.rules.patterns]]
regexp = '^Failed authentication attempt from (\d+.\d+.\d+.\d+)\S+\s+user does not exist (\S+)'
ip = 1
[[bruteForceProtection.rules.patterns.values]]
name = "Login"
value = 2
[[bruteForceProtection.rules.patterns]]
regexp = '^Failed authentication attempt from (\d+.\d+.\d+.\d+)\S+\s+\S+ password is invalid (\S+)'
ip = 1
[[bruteForceProtection.rules.patterns.values]]
name = "Login"
value = 2

Тағы бір мысал:

Егер сізде парольдерді сәйкестендіруден қорғауды қажет ететін қызмет болса, бірақ парольдерді сәйкестендіру әрекеттерінің жиілігі көптеген хабарландыруларға әкеледі және сіз хабарландыруларды толығымен өшіргіңіз келмейді, бірақ оларды мезгіл-мезгіл алғыңыз келсе, сіз параметрлерді notify_cooldown_seconds және/немесе notify_everyкөрсете аласыз.

[[bruteForceProtection.rules]]
enabled = true
notify = true
notify_cooldown_seconds = 86400
notify_every = 100
name = "Name 2"
message = "Message 2"
group = "group 2"
[bruteForceProtection.rules.source]
type = "file"
path = "/var/log/test.log"
[[bruteForceProtection.rules.patterns]]
regexp = '^Failed authentication attempt from (\d+.\d+.\d+.\d+)\S+\s+user does not exist (\S+)'
ip = 1
[[bruteForceProtection.rules.patterns.values]]
name = "Login"
value = 2

notify_cooldown_seconds = 86400Біз бұғаттау туралы хабарлама алғаннан кейін 86400 секунд ішінде бұл ережеден хабарлама алмайтынымызды айттық. Біз сондай-ақ notify_every = 100құлыптау туралы хабарлама алғаннан кейін 100 блок арқылы қайтадан хабарландырулар алатынымызды айттық. Бұл келесі хабарламаны 24 сағаттан кейін немесе 100 блоктан кейін аламыз дегенді білдіреді.

Авторизацияларды бақылау

Алдымен осы бөлімнің параметрлерін көрсету [login]керек, содан кейін осы бөлімнің қалған параметрлерін көрсету керек. Мысал:

[login]
enabled = true
notify = true
ssh_enable = true
ssh_notify = true
local_enable = true
local_notify = true
Параметр enabled
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Авторизацияны бақылау тобын қамтиды. Егер өшірілген болса, авторизацияны бақылау жұмыс істемейді.
true  - қамтиды
false - өшіреді
Мысалдар 
enabled = true
enabled = false
Параметр notify
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Авторизация туралы хабарламаларды қамтиды. Егер өшірілген болса, олар журналдарда тек деңгейде көрсетіледі = "info".
true  - қамтиды
false - өшіреді
Мысалдар 
notify = true
notify = false
Параметр ssh_enable
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама SSH авторизациясын бақылауды қамтиды.
true  - қамтиды
false - өшіреді
Мысалдар 
ssh_enable = true
ssh_enable = false
Параметр ssh_notify
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама SSH авторизациясы туралы хабарламаларды қамтиды. Егер өшірілген болса, олар журналдарда тек деңгейде көрсетіледі = "info".
true  - қамтиды
false - өшіреді
Мысалдар 
ssh_notify = true
ssh_notify = false
Параметр local_enable
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Жергілікті авторизацияны бақылауды қамтиды (TTY, физикалық қол жетімділік).
true  - қамтиды
false - өшіреді
Мысалдар 
local_enable = true
local_enable = false
Параметр local_notify
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Жергілікті авторизация туралы хабарламаларды қамтиды.
true  - қамтиды
false - өшіреді
Мысалдар 
local_notify = true
local_notify = false
Параметр su_enable
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Егер біреу `su` басқа есептік жазбаға кіру үшін пәрменді қолданса, бақылауды қамтиды.
true  - қамтиды
false - өшіреді
Мысалдар 
su_enable = true
su_enable = false
Параметр su_notify
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Егер біреу `su` басқа есептік жазбаға кіру үшін пәрменді қолданса, хабарландыруларды қосады.
true  - қамтиды
false - өшіреді
Мысалдар 
su_notify = true
su_notify = false
Параметр sudo_enable
Мағынасы true немесе false
Әдепкі бойынша false
Сипаттама Егер біреу `sudo` басқа есептік жазбаға кіру үшін пәрменді қолданса, бақылауды қамтиды.
Ескерту: егер команда кеңінен қолданылса, бұл опция ауыр болуы мүмкін sudo .
true  - қамтиды
false - өшіреді
Мысалдар 
sudo_enable = true
sudo_enable = false
Параметр sudo_notify
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Егер біреу `sudo` басқа есептік жазбаға кіру үшін пәрменді қолданса, хабарландыруларды қосады.
true  - қамтиды
false - өшіреді
Мысалдар 
sudo_notify = true
sudo_notify = false

Хабарландыру үшін журналды талдау параметрлері

Алдымен осы бөлімнің параметрлерін көрсету [logAlert]керек, содан кейін осы бөлімнің қалған параметрлерін көрсету керек. Мысал:

[logAlert]
enabled = true
notify = true
Параметр enabled
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Хабарландырулар үшін журналды бақылау тобын қамтиды. Егер өшірілген болса, хабарландырулар үшін журналдарды бақылау жұмыс істемейді.
true  - қамтиды
false - өшіреді
Мысалдар 
enabled = true
enabled = false
***
Параметр notify
Мағынасы true немесе false
Әдепкі бойынша true
Сипаттама Хабарламаларды қамтиды. Егер өшірілген болса, олар журналдарда тек деңгейде көрсетіледі = "info".
true  - қамтиды
false - өшіреді
Мысалдар 
notify = true
notify = false

Хабарландыру үшін журналдарды талдау (топтарды орнату)

Егер сіз өз топтарыңызды қосқыңыз келсе. Алдымен осы бөлімнің параметрлерін көрсету [[logAlert.groups]]керек, содан кейін осы бөлімнің қалған параметрлерін көрсету керек.

Параметр [[logAlert.groups]]
Мағынасы Топ параметрлерін көрсетіңіз.
Әдепкі бойынша  
Сипаттама

Бұл хабарландырулар үшін журналдарды талдауға арналған параметрлер тобы. [[logAlert.groups]] топтардың шексіз санын көрсетуге болады.

[[logAlert.groups]]
name - Топ Атауы ерекше болуы керек және таңбаларға рұқсат етіледі: a-z, A-Z, -, _  атау ерекше болуы керек. Бірінші таңба міндетті түрде әріп (міндетті өріс)
message - Хабарлама мәтіні (міндетті өріс)
rate_limit_reset_period - Егер оқиғалар болмаса, топтағы деректерді қанша уақыттан кейін қалпына келтіру керектігін секундтармен көрсетіңіз. Егер сіз 0-ді көрсетсеңіз, хабарландырулардың уақыт шегі өшіріледі.
[[logAlert.groups.rate_limits]] (бірнеше көрсетуге болады)
count - Хабарландыру қанша оқиғадан кейін іске қосылады.
period - Оқиғаларды бақылау үшін уақыт аралығын орнатыңыз.
Мысалдар 
[[logAlert.groups]]
name = "my_name_group"
message = "Любой текст группы"
rate_limit_reset_period = 86400
[[logAlert.groups.rate_limits]]
count = 5
period = 3600
[[logAlert.groups.rate_limits]]
count = 10
period = 3600
[[logAlert.groups.rate_limits]]
count = 50
period = 3600

Мұнда біз бірнеше нәрсені көрсеттік [[logAlert.groups.rate_limits]]. Бұл дегеніміз, кейін осы топтағы бірнеше оқиғалар келесі деңгейге [[logAlert.groups.rate_limits]]көтеріледі.

1 деңгей ережелер бойынша жұмыс істейді, егер оқиғалар арасында бір сағаттан аз уақыт болған 5 оқиға болса, онда хабарламалар жіберіледі. Және келесі деңгейге көтерілді.

2 деңгей ережелер бойынша жұмыс істейді, егер оқиғалар арасында бір сағаттан аз уақыт болған 10 оқиға болса, онда хабарламалар жіберіледі. Және келесі деңгейге көтерілді.

3 деңгей ережелер бойынша жұмыс істейді, егер әрекеттер арасында бір сағаттан аз уақыт болған 50 оқиға болса, онда хабарламалар жіберіледі. Және келесі деңгейге көтерілді.

4 деңгей болмағандықтан, бұл оқиға үшін тек 3 деңгей қабылданады. Бірақ егер бір күн ішінде (rate_limit_reset_period = 86400) бұл оқиға болмаса, онда ол қайтадан 1 деңгейге көтеріледі.

Тағы бір мысал:

[[logAlert.groups]]
name = "my_name_group"
message = "any message"
rate_limit_reset_period = 86400
[[logAlert.groups.rate_limits]]
count = 10
period = 60

Хабарландыру үшін журналды талдау (журналды талдау ережелерін орнату)

Егер сіз хабарландырулар үшін теңшелетін параметрлерді қосқыңыз келсе. Алдымен осы бөлімнің параметрлерін көрсету [[logAlert.rules]]керек, содан кейін осы бөлімнің қалған параметрлерін көрсету керек.

Параметр [[logAlert.rules]]
Мағынасы Біз журналдарды талдауға арналған ережелер параметрлерін көрсетеміз.
Әдепкі бойынша  
Сипаттама

[[logAlert.rules]] ережелердің шексіз санын көрсетуге болады.

[[logAlert.rules]]
enabled  - Бақылауды қосады немесе өшіреді (міндетті өріс)
notify - Хабарландыруларды қосады немесе өшіреді (міндетті өріс)
name - Хабарламаның аты. Рұқсат етілген таңбалар: a-z, A-Z, -, _.  Атау ерекше болуы керек. Бірінші таңба міндетті түрде әріп (міндетті өріс)
message - Хабарлама мәтіні (міндетті өріс)
group - Топтың атын көрсетуге болады (міндетті өріс емес)
[logAlert.rules.source] Журнал көзін орнату
type - journalctl немесе file (міндетті өріс)
path - Файл жолы (міндетті өріс Егер type = "file")
field - systemd_unit немесе syslog_identifier (егер міндетті өріс type = "journalctl")
match - Мәні (егер міндетті өріс type = "journalctl")
Егер field = "systemd_unit"болса match , ол аяқталуы керек: .service, .socket, .target, .mount, .timer, .path, .scope, .slice, .device
[[logAlert.rules.patterns]] реттеу параметрлері, бірнеше болуы мүмкін
regexp - Өз ережеңізді көрсетіңіз (міндетті өріс)
[[logAlert.rules.patterns.values]] Егер сіз хабарландыруларда тұрақты түрде алуға болатын тағы бірнеше өрістерді көрсеткіңіз келсе
name - Өріс атауы
value - Тұрақты нөмірді көрсетіңіз (санау 1-ден басталады)
type - Егер бұл өріс IP мекенжайымен байланысты болса, онда біз көрсетеміз type = "ip".
Мысалдар 
[[logAlert.rules]]
enabled = true
notify = true
name = "my_name_rule"
message = "Any message"
group = "my_name_group"
[logAlert.rules.source]
type = "journalctl"
field = "systemd_unit"
match = "ssh.service"
[[bruteForceProtection.rules.patterns]]
regexp = '^Accepted (\S+) for (\S+) from (\S+) port \S+'
[[logAlert.rules.patterns.values]]
name = "User"
value = 2
[[logAlert.rules.patterns.values]]
name = "IP"
value = 3
type = "ip"