OSSEC服务器未接收代理端文件变更告警问题求助

你已经搞定了OSSEC服务器和代理的通信、密钥导入，却卡在了文件完整性监控的告警和diff生成上？别着急，咱们一步步排查核心问题：

1. 先确认代理端的syscheck配置是否踩了标签坑 #

很多人按文档配置时容易搞混<directories>和<files>标签——如果你监控的是单个文件，一定要用<files>而不是<directories>，否则OSSEC可能不会正确识别监控目标。比如正确的单个文件监控配置应该是：

<syscheck>
  <!-- 监控单个文件，开启所有检查项 -->
  <files check_all="yes">/path/to/your/target/file.txt</files>
  <!-- 必须开启diff功能，否则不会生成差异文件 -->
  <diff>yes</diff>
</syscheck>

如果是监控目录，用<directories>没问题，但要确保路径末尾没有多余的斜杠，避免匹配异常。

2. 验证OSSEC代理对目标文件的访问权限 #

OSSEC代理是以ossec用户身份运行的，要是这个用户读不到目标文件，那监控肯定白搭。在代理端跑个命令验证下：

sudo -u ossec cat /path/to/your/target/file.txt

如果报错“Permission denied”，赶紧调整文件权限：

# 给其他用户加读权限（简单直接）
sudo chmod o+r /path/to/your/target/file.txt
# 或者把ossec用户加入文件所属组（更安全）
sudo usermod -aG your-file-group ossec

改完权限记得重启代理，让权限生效。

3. 触发初始基线扫描，确认基线生成 #

OSSEC的syscheck需要先完成一次初始基线扫描，才能对比后续的文件变化。你可以在代理端手动触发扫描：

# 替换<代理ID>为你的代理实际ID，或者用-a触发所有代理
/var/ossec/bin/agent_control -r -u <代理ID>

扫描完成后，去代理端的/var/ossec/queue/syscheck/目录看看，有没有生成syscheck.db文件——这就是基线数据库，要是没有，说明初始扫描失败，大概率是权限或配置的问题。

4. 排查diff目录为空的核心原因 #

服务器端/var/ossec/queue/diff/下的文件夹是按代理ID命名的，只有当代理把文件差异数据传到服务器后才会生成。既然你说alert.log能看到代理发的告警，那咱们分两步查：

• 代理端是否生成了diff数据：去代理端的/var/ossec/logs/ossec.log里搜“diff”关键词：

  grep "diff" /var/ossec/logs/ossec.log
  

  如果找不到类似“Generating diff for file”的日志，说明代理根本没触发diff生成——回去检查<diff>yes</diff>配置有没有加对，或者文件变化是不是太细微（比如空格变化？不过默认是监控所有变化的）。
• 服务器是否收到了diff数据：去服务器端的/var/ossec/logs/ossec.log搜“diff”，看有没有“Received diff from agent ”的日志。要是没有，可能是网络层面的小问题（虽然通信正常，但UDP包偶尔丢包？），或者服务器端不小心禁用了diff接收？

5. 检查服务器端的告警通知配置 #

有时候服务器收到了告警，但因为规则级别没达标，没触发通知（比如邮件、Slack）。检查服务器端ossec.conf里的<alerts>配置：

<alerts>
  <!-- 日志记录的最低告警级别，文件完整性监控默认是level 7 -->
  <log_alert_level>3</log_alert_level>
  <!-- 邮件通知的最低级别，要是你用邮件告警，这个值要≤7 -->
  <email_alert_level>3</email_alert_level>
</alerts>

确保log_alert_level不高于7，这样告警才会被写到alert.log里（你说能看到告警，这步可能没问题，但还是确认下）。

6. 手动触发一次明确的文件变化测试 #

别等自动扫描，直接在代理端给目标文件加内容：

echo "OSSEC test change $(date)" >> /path/to/your/target/file.txt

然后等个3-5分钟（syscheck默认扫描间隔是1小时，要是你想实时监控，得给<files>或<directories>加上realtime="yes"属性）。

等一会儿后，先看代理端ossec.log有没有“Sending syscheck event”的日志，再看服务器alert.log有没有对应的告警，最后去/var/ossec/queue/diff/下看有没有代理ID的文件夹。

要是以上步骤都试过还是不行，那就重启代理和服务器，让所有配置彻底生效：

# 代理端
sudo systemctl restart ossec-agent
# 服务器端
sudo systemctl restart ossec-manager

内容的提问来源于stack exchange，提问作者user8897013