带有 Graylog 的 Snort+Barnyard答案

【问题标题】：Snort+Barnyard with Graylog带有 Graylog 的 Snort+Barnyard
【发布时间】：2018-01-08 16:42:27
【问题描述】：

我按照this 指南安装了 Snort 和 Barnyard2。我正要安装 BASE，但它需要 PHP5 并且不再受支持。我安装了 PHP7，无法降级。

经过一番潜伏后，我决定使用 Graylog2 来查看日志。

Snort 配置为以统一 2 格式登录，然后 barnyard2 读取该格式并将其保存到 MySQL 数据库。据我了解（不多）记录到 MySQL 没有 BASE 毫无意义，我需要将日志转发到 Graylog。

现在，我应该

1) 移除 Barnyard 并告诉 Snort 以人类可读的格式登录（效率不是很高？）然后将日志发送到 Graylog

2a) 告诉 Barnyard 停止将日志发送到 MySQL，而是将它们直接转发到 Greylog

2b) 告诉 Barnyard 只翻译 Unified2 并将人类可读的日志写入另一个文件，然后将其发送到 Graylog。

无论如何，如何？

Snort、Barnyard 和 Graylog 在同一台机器上。

【问题讨论】：

【解决方案1】：

所以，我想出了这个，但我希望得到比我更了解的人的意见。

从 barnyard2 配置文件中删除它（example - 第 258 到 296 行）

output database: log, mysql, user=snort password=************** dbname=snort host=localhost sensor_name=sensor01

并为系统日志添加正确的输出

output alert_syslog

（或output log_syslog_full: sensor_name whatever, server 127.0.0.1, protocol udp, port 514？）

然后在 syslog 配置中（灰色日志文档，here）

*.* @graylog.example.org:514;RSYSLOG_SyslogProtocol23Format

【讨论】：

【解决方案2】：

您还可以将 barnyard 配置为直接登录到您的 Graylog 服务器。您只需在 Graylog 服务器上创建一个新的 syslog 输入并将 barnyard syslog 输出指向该 ip/端口，而不是通过 syslog 记录到 localhost。

【讨论】：