Как отправить уведомление OSSec на URL-адрес HTTP

Я не смог найти прямого способа отправить уведомление ossec на URL-адрес веб-перехватчика. Но у меня это получилось с помощью logstash, который мы используем для разбора и индексации журналов. Я добавил вывод logstash со следующей конфигурацией:

output {
  if [type] == "ossec_alert" {
    http {
      http_method => "post"
      url => "https://mythhpwebhook.com?key=1234"
      content_type => "application/json"
      mapping => ["Subject", "OSSEC Alert: %{signature}", "Message", "%{message}"]
    }
  }
}

Не: сообщение и подпись являются переменными из фильтра, примененного к входу ossec.

я обнаружил, что вы можете отправлять уведомления ossec с активными ответами: посмотрите на этот пример и этот ossec-tweeter.sh< /а>