☰

Unter Ubuntu installiertes Snort sendet keine Warnungen an das Syslog

tag-icon • tag-icon linux syslog snort
Unter Ubuntu installiertes Snort sendet keine Warnungen an das Syslog

Ich habe eine Magento-Website auf einem Linux-Rechner eingerichtet, die auf einem vorgefertigten Bitnami-Image basiert.

Das Hauptziel besteht darin, per E-Mail benachrichtigt zu werden, wenn es zu einem potenziellen Angriff auf die Site kommen könnte.

Mein Setup:

  • Ubuntu 14.04.3 LTS
  • Bitnami Magento Stack 1.9.1.0-0
  • Schnauben 2.9.7.5

Um dies zu erreichen, habe ich beschlossen, Snort IDS zu installieren und die Warnungen, die mit Swatch an das Syslog gesendet werden, per E-Mail zu versenden.

Ich habe Snort wie folgt installiert:dieses Tutorialvon der offiziellen Website von Snort.

Ich habe gerade Abschnitt 9 dieses Tutorials abgeschlossen, was bedeutet:

  • Alle Nebenkosten installiert.
  • Snort IDS auf der Maschine installiert.
  • Richten Sie eine Testregel ein, die bei ICMP-Anfragen (Ping) eine Warnung ausgibt.

Um Snort das Protokollieren von Warnmeldungen im Syslog zu ermöglichen, habe ich als Nächstes die folgende Zeile in der Datei snort.conf auskommentiert:

output alert_syslog: LOG_AUTH LOG_ALERT

Ich habe die Installation getestet, indem ich diesen Befehl ausgeführt habe:

sudo /usr/local/bin/snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

Während Snort läuft, habe ich eine Ping-Anfrage von einem anderen System aus gestellt. Ich kann sehen, dass in der Protokolldatei von Snort Warnmeldungen registriert werden, aberDem Syslog wurde nichts hinzugefügt.

Spur und Fehler:

  1. Führen Sie Snort als Root-Benutzer aus.

  2. Richten Sie Syslog so ein, dass Protokolle an einen anderen Server weitergeleitet werden (Remote-Syslog).

Ich habe nicht viel Erfahrung mit Linux und wäre daher für jede Hilfe, die mich in die richtige Richtung weist, sehr dankbar.

Antwort1

Ich habe diese Frage auch auf linuxquestions.org gepostet und eine Antwort erhalten.

Nach der Antwort von unSpawn habe ich die rsyslog-Conf-Dateien überprüft und festgestellt, dass Authentifizierungsprotokolle an die Datei auto.log gesendet werden. Dies führte zu einer schnellen Lösung, bei der eine zusätzliche .conf-Datei hinzugefügt wurde/etc/rsyslog.dmit dem Inhalt:

auth /var/log/syslog

Außerdem habe ich wie vorgeschlagen einige Änderungen am Snort-Ausführungsbefehl vorgenommen (unter Weglassung der Konsole -q -A):

sudo /usr/local/bin/snort -u snort -g snort -c /etc/snort/snort.conf -i eth0

Nach dem Neustart des rsyslog-Dienstes habe ich die fehlenden Snort-Warnungen im Syslog gefunden.

verwandte Informationen