安装在 ubuntu 上的 Snort 未向 syslog 发送警报

Question

我在基于 Bitnami 的 linux 机器上设置了 Magento 网站 现成的图像。

主要目标是在网站可能受到潜在攻击时通过电子邮件通知。

为了实现这一点，我决定安装 Snort IDS 并使用 Swatch 通过电子邮件将警报发送到系统日志。

我已经通过关注 Snort 官网的this tutorial 安装了 snort。

我刚刚完成了该教程的第 9 部分，这意味着：

• 安装了所有的附加组件。
• 在机器上安装了 Snort IDS。
• 设置测试规则以在发生 ICMP 请求 (ping) 时发出警报。

为了让 Snort 将警报记录到 syslog，我在 snort.conf 文件中取消了对这一行的注释： 输出 alert_syslog: LOG_AUTH LOG_ALERT

我已经通过运行以下命令测试了安装：

sudo /usr/local/bin/snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

在 Snort 运行时，我从另一个系统发出了 ping 请求。 我可以看到在 Snort 的日志文件中注册的警报，但系统日志中没有添加任何内容。

---

跟踪和错误：

1. 以 root 用户身份运行 snort。

2. 设置 syslog 以将日志退回到另一台服务器（远程 syslog）。

我在 linux 方面没有很多经验，因此非常感谢任何能帮助我找到正确方向的人。

一些事实：

• Bitnami Magento 堆栈 1.9.1.0-0
• Ubuntu 14.04.3 LTS
• Snort 2.9.7.5

Answer 1

我也在 linuxquestions.org 上发布了这个问题并得到了答案。

在 unSpawn 回复之后，我查看了 rsyslog conf 文件，发现身份验证日志已发送到 auto.log 文件。 这导致快速修复将额外的 .conf 文件添加到 /etc/rsyslog.d 的内容：

auth /var/log/syslog

还按照建议，我对 snort 执行命令进行了一些更改（省略了 -q -A 控制台）：

sudo /usr/local/bin/snort -u snort -g snort -c /etc/snort/snort.conf -i eth0

重新启动 rsyslog 服务后，我发现 syslog 中缺少 Snort 警报。