Édite /var/ossec/etc/ossec.conf et, à l'intérieur du bloc <syscheck> déjà présent (n'en crée pas un second), ajoute :

```bash
<directories check_all="yes" realtime="yes">/root/fim_test</directories>
<alert_new_files>yes</alert_new_files>
```

Puis

```bash
sudo mkdir -p /root/fim_test
sudo systemctl restart wazuh-agent
sleep 15   # laisse l'agent établir la baseline
```

Déclencher l'alerte

```bash
echo "creation $(date)" | sudo tee /root/fim_test/test.txt     # fichier ajouté  -> règle 554
echo "modification $(date)" | sudo tee -a /root/fim_test/test.txt  # fichier modifié -> règle 550
```