如何查看snort日志文件

Question

我一直在使用snort-IDS。我在/ var/log/snort有一些日志文件。 这些文件的类型为snort.log.xxxx。我如何查看此文件？

Answer 1

假设他们以二进制PCAP格式登录，那么Wireshark是你的朋友。

Answer 2

实际上，您可以在命令行或终端（如snort -r xx.log.xxx$）上阅读它们。有关详细信息，请参阅snort手册。

Answer 3

或者您可以使用barnyard2以统一格式2读取它们并将结果转储到数据库中。

那就是我在做什么。

Answer 4

sudo tcpdump -r snort.log.XXXX 

将输出到您的屏幕。使用tcpdump，因为它们是pcap格式。

Answer 5

我会重新打开这个问题，尝试合并其他答案，因为我认为他们没有得到正确解释。

1. 猜测snort.log.xxx文件类型

的Snort可以有输出，您两种依赖于哼输出插件选项的文件输出的文件格式：tcpdump的PCAP和Snort的unified2。为了知道你的文件是什么类型的，使用unix file命令。

它会告诉你tcpdump capture file（转到2）或data（转到3）。

tcpdump的

可以读取作为一个正常捕获文件：可以使用wireshark，tshark -r，tcpdump -r，或甚至与snort -r重新注入它们哼。

Unified2

“天然” 打鼾格式。您可以使用u2spewfoo <file>（包含在snort中）读取它，或将其转换为u2boat的pcap。

如果要将其转换为另一个警报系统（例如syslog），可以使用barnyard2。 Barnyard2是一个简单的工具，但配置有点复杂，所以告诉我你是否需要更多信息！

Barnyard2也可以“连续”转换它，即先前的工具是一个短的：它们一次打印/转换一个文件，然后退出。 Barnyard2能够监控snort日志目录并在snort生成时处理事件。

更多信息

的unified2格式被使用是因为老打鼾唯一线程设计。时间snort花费等待系统日志，屏幕等来确认提醒是snort未用于分析数据包的时间。因此，方法是以高效的二进制格式转储，并让另一个程序（可能具有低CPU优先级）来处理它们。