config.xml

syslog接收ids告警使用sax解析转换为idmef存入数据库

<?xml version="1.0" encoding="UTF-8"?>
<idmef:IDMEF-Configure version="1.0">
	<parser-list name="snort">
		<parser name="analyzer">
				<match regex=".*\]\s*(.*?)\s*(\[Classification|{PROTO)"></match>
		</parser>
		<parser name="sourceNode">
				<match regex="([0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}(:[0-9]*|))\s*->"></match>
		</parser>
		<parser name="targetNode">
				<match regex="->\s*([0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}(:[0-9]*|))"></match>
		</parser>
		<parser name="classification">
				<match regex="\[Classification:\s*(.*?)\s*\]"></match>
		</parser>
		<parser name="assessment">
				<match regex="\[Priority:\s*(.*?)\s*\]"></match>
		</parser>
		<parser name="createTime">
				<match regex="([A-Z|a-z]+\s*[0-9]{1,2},\s*[0-9]{4}\s*[0-9]{1,2}:[0-9]{2}:[0-9]{2}\s*..).*"></match>
		</parser>
	</parser-list>
</idmef:IDMEF-Configure>