將Snort alert log傳送到遠端 Log server

 
編輯 /etc/snort/snort.conf 檔案output alert_syslog: LOG_LOCAL5 LOG_ALERT

編輯 /etc/syslog.conf 檔案local5.*      @192.168.1.1  遠方log server

重啟syslog[[email protected] log]# service syslog restart

編輯遠端 log server的  /etc/syslog.conf 檔案local5.*  /var/log/snort.log

重啟遠端syslog[[email protected] log]# service syslog restart

備忘: 也可記錄於本機log file
編輯 /etc/snort/snort.conf 檔案output alert_syslog: LOG_LOCAL5  LOG_ALERT

編輯 /etc/syslog.conf 檔案local5.alert       /var/log/snort.alert

啟動snort [[email protected] log]# /usr/local/bin/snort -c /etc/snort/snort.conf -i eth0 -g snort -p –D

注意:如果要將alert log放到另外的地方 (預設是在/var/log/snort/alert) ,
例如 /var/log/snort.alert,  Snort 啟動時不能加 –A fast(是產生alert檔的) , 所以snort就會以 /var/log/snort.alert檔案了, /var/log/snort/alert檔就不會產生了.

註: 如果要產生/var/log/snort/alert檔案, 又要送log至遠端log server 或本機的 /var/log/messages檔案時, 要加上 –s –A fast 參數, [[email protected] log]# /usr/local/bin/snort -c /etc/snort/snort.conf -i eth0 -g snort  –s  –A fast -D

Hits: 164

By tony

自由軟體愛好者~喜歡不斷的思考各種問題,有新的事物都會想去學習嘗試 做實驗並熱衷研究 沒有所謂頂天的技術 只有謙虛及不斷的學習 精進專業,本站主要以分享系統及網路相關知識、資源而建立。 Github http://stnet253.github.io

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *

這個網站採用 Akismet 服務減少垃圾留言。進一步了解 Akismet 如何處理網站訪客的留言資料