Newsgroup: it.comp.os.linux.sys
Titolo: logcheck samba e semplice pattern matching

Chiedo aiuto, mi sembra veramente una stupidaggine ma non mi torna, in 
log.smdb ho parecchi di questi errori
[2007/12/23 06:39:11, 0] auth/auth_util.c:create_builtin_users(758)
   create_builtin_users: Failed to create Users
Ancora non ho trovato il perché e il percome di questo errore ma 
comunque non dà fastidio, funziona tutto comunque.
Però vorrei evitare di vederlo nei report di logcheck, che invece mi 
riportano queste cosucce
Security Events
=-=-=-=-=-=-=-=
   create_builtin_users: Failed to create Users
   create_builtin_users: Failed to create Users
Le ho provate un po' tutte ma non capisco perché non riesca nel matching 
, facendolo a mano funziona.
(ad esempio egrep -e "^create_builtin_users:*)
Non capisco perché la stringa prima sparisca e mi tenga solo la seconda, 
che non se ne va neanche a calci, qualcuno ha idee?
Grazie e buon Natale

 (ad esempio egrep -e "^create_builtin_users:*)
                      ^^^^^
                Non ci sono degli spazi?
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 
Ho provato anche con gli spazi e con "*create_*" (che in teoria prende 
quanti spazi mi pare) ma niente da fare..

 quanti spazi mi pare) ma niente da fare..
Ma usi o non usi *regex*?
Se usi regex la tua "*create_*" non fa assolutamente quel che pensi.
E guardando bene in effetti anche prima mi era sfuggito l'*orrore*
Per prima cosa direi di fare un bel man regex
Poi prova con "^ *create_builtin_users:.*"


 
Fatto, con egrep matcha ma mettendolo in ignore.server.d/local non va, 
il file è ok perché un altra regex funziona...

 
Ho letto il man (avevo travisato l'uso di *) e compreso il perché della 
tua stringa, n spazi iniziali, la stringa e poi n caratteri qualsiasi 
finali, ma non riesco a capire perché quindi non funzioni neanche questo!
Ho provato anche con [[:spaces:]] o [[:alnum:]] ma senza successo..
Non c'è modo di ricavare una regexp da una stringa?

 il file è ok perché un altra regex funziona...
E con "^.*create_builtin_users:.*"?


 
L'avevo provato subito dopo niente stesso risultato..
Non è che logcheck si lavora prima i log?
Il log originale (con cat -A) sarebbe questo
[2007/12/24 09:18:12, 0] auth/auth_util.c:create_builtin_users(758)$
   create_builtin_users: Failed to create Users$
Tra l'altro con alcune stringhe (non quest'ultima) almeno la prima riga 
matcha e sparisce dai report, mentre la seconda rimane sempre e comunque.
Quel "$" sarebbe una "\n"?

andrea ha scritto:

Non si potrebbe altrimenti agire a monte?
Cioè quei log non mi interessano proprio, mi par di vedere però che 
syslog-ng non abbia questa feature, a meno forse di loggare solo se 
matcha una certa espressione (che nega quello che cerco).

 matcha una certa espressione (che nega quello che cerco).
Vedi sopra.


 
Già mannaggia samba logga direttamente per cui niente da fare... Se 
riuscissi proprio ad eliminare quell'errore sarei ancora più contento 
comunque!

Mandi! andrea
  In chel dì si favelave...
a> Le ho provate un po' tutte ma non capisco perché non riesca nel matching 
a> , facendolo a mano funziona.
Il problema è questo:
a> Security Events
a> =-=-=-=-=-=-=-=
...è un security events, non un 'system events': logcheck ha tre
'livelli', uno è quello normale (in cui vangono gli ignore.d.* a
seconda del livello di paranoia scelto), ma ha anche cracking.* e
violations* che sostanzialmente definiscono una serie di regex che
matchano problemi di sicurezza.
Questi fanno match prima, quindi se vuoi evitare che ci siano security
events devi prima aggiungerli nel relativo ignore, e quindi metterli in
'ignore' per non averli tra le scatole.
Esempio pratico: smartd è pieno di buzzword, io ho messo tutto smartd
in ignore per violations (tanto non è pertinente) e poi filtrato.
-- 
  But i still haven't found
  what i'm looking for					(U2)


Mannaggia avevo immaginato fosse qualcosa del genere ma non avevo
capito di dover andare a metterle nelle altre directory, che stupido!
Strano però che la stringa prima sia di un tipo e quella dopo di un
altro, calcolando che si riferiscono alla stessa cosa praticamente, o
no?

Mandi! andrea
  In chel dì si favelave...
a> Strano però che la stringa prima sia di un tipo e quella dopo di un
a> altro, calcolando che si riferiscono alla stessa cosa praticamente, o
a> no?
cracking e violations funzionano a keyword, basta che dentro ci si
(parte di) una parola considerata 'pericolosa' e scatta la
segnalazione.
-- 
  ...il ponte di Messina unir? ?non due coste ma due cosche?.
							(Niki Vendola)