Настройка триггера при мониторинге лог-ф

[nitrogear]

Я настроил мониторинг лог файла на обнаружение таких строк (поиск шаблона "Invalid user"):
Jun 12 10:57:54 sneak sshd[81715]: Invalid user rpcuser from 122.1.87.43
При мониторингке лог-файла, насколько я понял, last value устанавливается не через указанный период опроса, а только при обнаружении в лог-файл нужной строки.
Каким образом настроить триггер, чтобы он срабатывал по событию нахождения нужной мне строки?
И как в этом случае сбрасывать триггер обратно?

[dotneft]

ß íàñòðîèë ìîíèòîðèíã ëîã ôàéëà íà îáíàðóæåíèå òàêèõ ñòðîê (ïîèñê øàáëîíà "Invalid user"):
Jun 12 10:57:54 sneak sshd[81715]: Invalid user rpcuser from 122.1.87.43
Ïðè ìîíèòîðèíãêå ëîã-ôàéëà, íàñêîëüêî ÿ ïîíÿë, last value óñòàíàâëèâàåòñÿ íå ÷åðåç óêàçàííûé ïåðèîä îïðîñà, à òîëüêî ïðè îáíàðóæåíèè â ëîã-ôàéë íóæíîé ñòðîêè.
Êàêèì îáðàçîì íàñòðîèòü òðèããåð, ÷òîáû îí ñðàáàòûâàë ïî ñîáûòèþ íàõîæäåíèÿ íóæíîé ìíå ñòðîêè?
È êàê â ýòîì ñëó÷àå ñáðàñûâàòü òðèããåð îáðàòíî?

èñïîëüçîâàòü regexp èëè iregexp

[nitrogear]

èñïîëüçîâàòü regexp èëè iregexp

Имеется ввиду что ключ vfs.file.regexp[file, regexp] устанавливает last value при каждом опросе?

[nitrogear]

Дело в том, что regexp будет находить первое вхождение в указанном файле, в то время как log ищет нужную строку в новых записях.
Как же быть в данном случае?

[dotneft]

Äåëî â òîì, ÷òî regexp áóäåò íàõîäèòü ïåðâîå âõîæäåíèå â óêàçàííîì ôàéëå, â òî âðåìÿ êàê log èùåò íóæíóþ ñòðîêó â íîâûõ çàïèñÿõ.
Êàê æå áûòü â äàííîì ñëó÷àå?

1)ñîçäàåòå èòåì ñ òèïîì ëîã. Íàïðèìåð error.log
2) ñîçäàåòå òðèããåð {Template_Linux:error.log.iregexp(rpcuser)}

Íàâåðíîå òàê

Äóìàþ ìîæíî åùå èñïîëüçîâàòü .regexp(), .str()

iregexp - Íå ÷óâñòâèòåëüíàÿ ê ðåãèñòðó ïðîâåðêà
regexp - Âèäèìî ÷óâñòâèòåëüíàÿ
str - èùåò â âîçâðàùåííîì ðåçóëüòàòå ïîäñòðîêó.

Íó à ïîäðîáíåå â ìàíóàëå êà êýòî èñïîëüçîâàòü (ñòð 126-127)

[nitrogear]

1)ñîçäàåòå èòåì ñ òèïîì ëîã. Íàïðèìåð error.log
2) ñîçäàåòå òðèããåð {Template_Linux:error.log.iregexp(rpcuser)}
Íàâåðíîå òàê

Ýòî ìíå ÿñíî - âîïðîñ â äðóãîì.
last value äëÿ êëþ÷à òèïà log óñòàíàâëèâàåòñÿ íå êàæäûé ðàç âî âðåìÿ îïðîñà (êàê ñ ëþáûì äðóãèì êëþ÷îì), à òîëüêî êîãäà ïîÿâëÿåòñÿ íîâàÿ çàïèñü â ëîãå.
 èòîãå ïîëó÷àåòñÿ åñëè ïðîèçîøëî èíòåðåñóþùåå ìåíÿ ñîáûòèå, òî òðèããåð (íàñòðîåííûé íà ïîèñê ñòðîêè ïî str, ê ïðèìåðó), âçâåäåòñÿ è áóäåò îñòàâàòüñÿ â òàêîì ïîëîæåíèè.
ß ïðîñìàòðèâàþ /var/log/auth.log íà ïðåäìåò ïîïûòîê ïîäáîðà ïàðîëåé ïî ssh. Êàê òîëüêî òàêîå îáíàðóæèâàåòñÿ, âçâîäèòñÿ òðèããåð è âûïîëíÿåòñÿ áëîêèðîâêà àäðåñà, ñ êîòîðîãî ïðîèçâîäèòñÿ ïîäáîð. Ïðîáëåìà â òîì, ÷òî òðèããåð òàê è îñòàåòñÿ âêëþ÷åííûì.
Ïîêà ðåøèë ïðîáëåìó òàê - äîáàâèë â ñêðèïò, çàïóñêàåìûé ïî òðèããåðó çàïèñü â /var/log/auth.log ñòðî÷êè, êîòîðàÿ ñáðàñûâàåò ñîñòîÿíèå òðèããåðà.
Ýòî êîíå÷íî êîñòûëü, õîòåëîñü áû ÷òîáû ðàçðàáîò÷èêè ÷òî-òî ïðèäóìàë êàê ìîæíî ñðåäñòâàìè çàááèêñà ðåøèòü ïîäîáíóþ ïðîáëåìó.