Меня смущает порядок, в котором ossec соответствует другим правилам. Насколько я понимаю, он сначала сопоставляет правила с уровнем 0, а затем в порядке убывания от самого высокого до самого низкого уровня оповещения.
Каков порядок выполнения правил одного уровня оповещения?