Контроль целостности файлов

[qulis]

Добрый день!
Если ли возможность на Windows XP контроллировать неизменность большого перечня файлов?
Для одного файла довольно просто, создал подсчет хэш-суммы и триггер:
(({host:vfs.file.md5sum[C:\test.txt].diff(0)})<>0)
Не создавать же под каждый файл такой триггер...
Предложите, пжл, варианты как это можно реализовать. Может есть возможность создание массива с полным перечнем путей к файлам и выполнить проверку по списку или какой другой вариант.

[sadman]

Первое, что приходит в голову - по lld получать список файлов от самописного скрипта, прототипами задавать триггеры.

[qulis]

sadman
Спасибо за ответ!
Я сделал в тот же день слепок системы (создал лист с файлами в виде: путь к файлу - md5), затем запустил сравнение с этим листом с помощью скрипта, где на выходе получил файл с изменениями в виде: путь к файлу - md5.
Подскажите, как теперь сделать так, чтобы Zabbix смог забрать этот файл, разобрать его и создать оповещение (alert) ?

[sadman]

Заббикс никак не будет разбирать файл. Он ждет от вас входящих данных в виде: "ключ значение". Если ключ не будет существовать в db - значение не будет принято.

Вам необходимо создать ключи, однозначно определяющие контролируемые объекты (файлы) и идентифицировать с их помощью передаваемые системе мониторинга данные. На элементы данных, привязанные к ключам, навесить триггеры и пропихнуть их в оповещения. Создавать можете вручую, через api, с помощью lld. Lld - самое простое.

[qulis]

sadman
Я не понял как сделать через lld, но сделал через утилиту nciv по расчету контрольных сумм. zabbix запускает выполнение команды command.run с определенными параметрами на проверку соответствия контрольных сумм, затем с помощью regex смотрю, если ли в наличии изменения.
Спасибо.

[sadman]

Ну, дело вкуса, конечно. С ллд меньше мышей будет выведено из строя.

https://www.zabbix.com/documentation/2.0/ru/manual/discovery/low_level_discovery#json_%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%82_%D0%BE%D0%B1%D0%BD%D0%B0%D1%80%D1%83%D0%B6%D0%B5%D0%BD%D0%B8%D1%8F_%D1%8D%D0%BB%D0%B5%D0%BC%D0%B5%D0%BD%D1%82%D0%B0_%D0%B4%D0%B0%D0%BD%D0%BD%D1%8B%D1%85

[qulis]

sadman
Я все же не понимаю каким образом низкоуровневое обнаружение поможет осуществлять контроль неизменности файлов. Не могли бы привести пример?

Возник еще один вопрос, можно ли встроенными средствами Zabbix осуществлять контроль целостности журналов Windows XP?
Например, из текущего перечня событий получать контрольную сумму. Затем в определенный период времени брать новые записи и считать их КС... Затем сверять.

[sadman]

sadman
Я все же не понимаю каким образом низкоуровневое обнаружение поможет осуществлять контроль неизменности файлов. Не могли бы привести пример?

Пример в любом шаблоне Zabbix, где есть Discovery rule.

Делаете скрипт, как по ссылке в пред. постах, он отдает в заббикс список файлов (связанных с макросом), которые подлежат контролю. Уж не знаю, по какому принципу там отберете их. Далее - создаете прототип элемента данных с ключом vfs.file.md5sum[{#FILENAME}] и прототип триггера (({host:vfs.file.md5sum[{#FILENAME}].diff(0)})<>0). Из этих прототипов заббикс сам наделает нужные элементы данных, в которых будут подставлены имена файлов из того JSON, что отдал скрипт.
Вместе с именем файла. в другом макросе, отдавайте оригинальную контрольную сумму и этот макрос пихайте в триггер - если текущая crc <> оригинальной - аларм.
Проще объяснять уже некуда - сделайте разок по инструкции и все поймете.

Возник еще один вопрос, можно ли встроенными средствами Zabbix осуществлять контроль целостности журналов Windows XP?
Например, из текущего перечня событий получать контрольную сумму. Затем в определенный период времени брать новые записи и считать их КС... Затем сверять.

Не совсем понятно - в чем тайный смысл? Журналы будут изменяться - это их естественное состояние. Аларм не будет скидываться.

[pvv24255]

Добрый день.
Пробую как в первом посту написано (({host:vfs.file.md5sum[C:\test.txt].diff(0)})<>0)
Хэш функция вычисляется, а вот триггер не работает.
Значение определял как символ (текст тоже пробовал).
Не подскажите почему не сравниваются значения?