Snort, установленный на Ubuntu, не отправляет оповещения в системный журнал

У меня есть настройка веб-сайта Magento на Linux-машине, основанная на готовом образе Bitnami.

Основная цель — получать уведомления по электронной почте всякий раз, когда на сайт может быть совершена потенциальная атака.

Для этого я решил установить Snort IDS и отправлять по электронной почте оповещения, поступающие в системный журнал, с помощью Swatch.

Я установил snort, следуя это руководство с официального сайта Snort.

Я только что закончил раздел 9 этого руководства, что означает:

  • Установил все доп.
  • Установил Snort IDS на машину.
  • Настройте тестовое правило для оповещения при возникновении запросов ICMP (ping).

Далее, чтобы позволить Snort регистрировать предупреждения в системном журнале, я раскомментировал эту строку в файле snort.conf: output alert_syslog: LOG_AUTH LOG_ALERT

Я проверил установку, выполнив эту команду:

sudo /usr/local/bin/snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

во время работы Snort я сделал запрос ping из другой системы. Я вижу оповещения, зарегистрированные в файле журнала Snort, но в системный журнал ничего не добавлено.

Трасса и ошибки:

  1. Запустите snort от имени пользователя root.

  2. Настройте системный журнал для передачи журналов на другой сервер (удаленный системный журнал).

У меня нет большого опыта работы с Linux, поэтому любая помощь, которая укажет мне правильное направление, будет очень признательна.

Некоторые факты:

  • Стек Bitnami Magento 1.9.1.0-0
  • Убунту 14.04.3 ЛТС
  • Фырканье 2.9.7.5

linux syslog snort
person Haim    schedule 14.09.2015    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Я также разместил этот вопрос на linuxquestions.org и получил ответ.

После ответа unSpawn я просмотрел файлы конфигурации rsyslog и обнаружил, что журналы аутентификации отправляются в файл auto.log. Что привело к быстрому исправлению путем добавления дополнительного файла .conf в /etc/rsyslog.d с содержимым:

auth /var/log/syslog

Также, как было предложено, я внес некоторые изменения в команду выполнения snort (исключая консоль -q -A):

sudo /usr/local/bin/snort -u snort -g snort -c /etc/snort/snort.conf -i eth0

после перезапуска службы rsyslog я обнаружил отсутствующие предупреждения Snort в системном журнале.

person Haim    schedule 22.09.2015