☰

Snort, установленный на Ubuntu, не отправляет оповещения в syslog

tag-icon • tag-icon linux syslog snort
Snort, установленный на Ubuntu, не отправляет оповещения в syslog

У меня есть настроенный на Linux-машине веб-сайт Magento, основанный на готовом образе Bitnami.

Основная цель — получать уведомления по электронной почте о возможных атаках на сайт.

Моя установка:

  • Ubuntu 14.04.3 LTS
  • Битнами Magento Stack 1.9.1.0-0
  • Фырканье 2.9.7.5

Для этого я решил установить Snort IDS и отправлять по электронной почте оповещения, поступающие в системный журнал, с помощью Swatch.

Я установил snort, следуя инструкциямэтот урокс официального сайта Snort.

Я только что закончил раздел 9 этого руководства, а это значит:

  • Установил все необходимые удобства.
  • Установил Snort IDS на машину.
  • Настройте тестовое правило для оповещения при возникновении ICMP-запросов (ping).

Далее, чтобы разрешить Snort регистрировать оповещения в системном журнале, я раскомментировал эту строку в файле snort.conf:

output alert_syslog: LOG_AUTH LOG_ALERT

Я проверил установку, выполнив следующую команду:

sudo /usr/local/bin/snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

Пока Snort работает, я сделал запрос ping из другой системы. Я вижу оповещения, регистрирующиеся в файле журнала Snort, нов системный журнал ничего не было добавлено.

Путь и ошибки:

  1. Запустите snort от имени пользователя root.

  2. Настройте syslog для отправки журналов на другой сервер (удаленный syslog).

У меня нет большого опыта работы с Linux, поэтому любая помощь, которая направит меня в правильном направлении, будет очень признательна.

решение1

Я также разместил этот вопрос на linuxquestions.org и получил ответ.

После ответа unSpawn я просмотрел файлы rsyslog conf и обнаружил, что логи аутентификации отправляются в файл auto.log. Что привело к быстрому исправлению путем добавления дополнительного файла .conf в/etc/rsyslog.dс содержанием:

auth /var/log/syslog

Также, как и предлагалось, я внес некоторые изменения в команду выполнения snort (исключив консоль -q -A):

sudo /usr/local/bin/snort -u snort -g snort -c /etc/snort/snort.conf -i eth0

после перезапуска службы rsyslog я обнаружил пропавшие оповещения Snort в syslog.

Связанный контент