linux - 安装在 ubuntu 上的 Snort 不向 syslog 发送警报

Question

我在一台基于 Bitnami 的 Linux 机器上设置了一个 Magento 网站现成的图像。

主要目标是在网站可能受到潜在攻击时通过电子邮件收到通知。

为了实现这一目标，我决定安装 Snort IDS 并使用 Swatch 将警报通过电子邮件发送到系统日志。

我已经按照this tutorial安装了snort来自Snort官方网站。

我刚刚完成该教程的第 9 部分，这意味着:

• 安装了所有必备软件。
• 已在计算机上安装 Snort IDS。
• 设置测试规则，以便在发生 ICMP 请求 (ping) 时发出警报。

接下来，为了允许 Snort 将警报记录到系统日志中，我在 snort.conf 文件中取消了这一行的注释:输出alert_syslog:LOG_AUTH LOG_ALERT

我通过运行以下命令测试了安装:

sudo /usr/local/bin/snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

当 Snort 运行时，我从另一个系统发出了 ping 请求。我可以看到 Snort 日志文件中注册了警报，但系统日志中没有添加任何内容。

<小时/>

跟踪和错误:

1. 以 root 用户身份运行 snort。

2. 设置 syslog 将日志退回到另一台服务器(远程 syslog)。

我对 Linux 没有太多的经验，所以任何帮助我指明正确方向的帮助都将非常感激。

一些事实:

• Bitnami Magento 堆栈 1.9.1.0-0
• Ubuntu 14.04.3 LTS
• 喷鼻2.9.7.5

Answer 1

我也在 linuxquestions.org 上发布了这个问题并得到了答案。

在 unSpawn 回复之后，我查看了 rsyslog conf 文件，发现身份验证日志已发送到 auto.log 文件。这导致了快速修复，将额外的 .conf 文件添加到 /etc/rsyslog.d ，其内容为:

auth /var/log/syslog

另外，按照建议，我对 snort 执行命令进行了一些更改(省略 -q -A 控制台):

sudo /usr/local/bin/snort -u snort -g snort -c /etc/snort/snort.conf -i eth0

重新启动 rsyslog 服务后，我在 syslog 中发现了丢失的 Snort 警报。