如何查看snort日誌文件

Question

我一直在使用snort-IDS。我在/ var/log/snort有一些日誌文件。 這些文件的類型爲snort.log.xxxx。我如何查看此文件？

Answer 1

假設他們以二進制PCAP格式登錄，那麼Wireshark是你的朋友。

Answer 2

實際上，您可以在命令行或終端（如snort -r xx.log.xxx$）上閱讀它們。有關詳細信息，請參閱snort手冊。

Answer 3

或者您可以使用barnyard2以統一格式2讀取它們並將結果轉儲到數據庫中。

那就是我在做什麼。

Answer 4

sudo tcpdump -r snort.log.XXXX 

將輸出到您的屏幕。使用tcpdump，因爲它們是pcap格式。

Answer 5

我會重新打開這個問題，嘗試合併其他答案，因爲我認爲他們沒有得到正確解釋。

1. 猜測snort.log.xxx文件類型

的Snort可以有輸出，您兩種依賴於哼輸出插件選項的文件輸出的文件格式：tcpdump的PCAP和Snort的unified2。爲了知道你的文件是什麼類型的，使用unix file命令。

它會告訴你tcpdump capture file（轉到2）或data（轉到3）。

tcpdump的

可以讀取作爲一個正常捕獲文件：可以使用wireshark，tshark -r，tcpdump -r，或甚至與snort -r重新注入它們哼。

Unified2

「天然」 打鼾格式。您可以使用u2spewfoo <file>（包含在snort中）讀取它，或將其轉換爲u2boat的pcap。

如果要將其轉換爲另一個警報系統（例如syslog），可以使用barnyard2。 Barnyard2是一個簡單的工具，但配置有點複雜，所以告訴我你是否需要更多信息！

Barnyard2也可以「連續」轉換它，即先前的工具是一個短的：它們一次打印/轉換一個文件，然後退出。 Barnyard2能夠監控snort日誌目錄並在snort生成時處理事件。

更多信息

的unified2格式被使用是因爲老打鼾唯一線程設計。時間snort花費等待系統日誌，屏幕等來確認提醒是snort未用於分析數據包的時間。因此，方法是以高效的二進制格式轉儲，並讓另一個程序（可能具有低CPU優先級）來處理它們。