Mit konfigurál a Snort Sensor által rögzített riasztási adatok tárolására?

Konfigurálja a kimeneti beépülő modulokat horkolás közben az érzékelő által rögzített riasztási adatok tárolására. A SNORT nem tartalmazza az adatokat; Kifejezetten meg kell mondani, hogy hol és hogyan kell elküldeni a riasztási információkat. A közös kimeneti beépülő modulok és a konfigurációk a következők:

* `Unified2` (vagy hasonló): Ez egy általános és nagyon sokoldalú kimeneti plugin, amely lehetővé teszi a különféle kimeneti módszereket. Konfigurálja ezt a plugint a riasztási adatok rendeltetési helyével. Ez lehet:

* adatbázis: Ezt gyakran előnyben részesítik a hosszú távú tárolás és elemzés esetén. A népszerű választások között szerepel a MySQL, a PostgreSQL és az Elasticsearch. Meg kell adnia az adatbázis -kapcsolat részleteit (host, port, felhasználónév, jelszó, adatbázis neve) a „Unified2” konfigurációban.

* egy fájl: Egyszerűbb beállításhoz, de kevésbé méretezhető a nagy telepítésekhez. Ez magában foglalja egy fájl elérési útjának meghatározását, ahol a Snort megírja a riasztási adatokat. A fájlformátum általában testreszabható (például szöveg, CSV). A rotációs és archiválási mechanizmusok fontosak a lemezterület kezelésében.

* Syslog szerver: Ez figyelmeztetéseket küld egy központi Syslog szervernek az aggregáció és elemzés céljából. Szüksége van a Syslog Server IP -címére és portjára.

* Egy dedikált SIEM (biztonsági információk és eseménykezelés) rendszer: A SIEM -eket úgy tervezték, hogy különféle forrásokból, beleértve a Snort -t, összegyűjtsék, elemezzék és kezeljék a biztonsági naplókat. Konfigurálja a „Unified2” beépülő modulot, hogy riasztásokat továbbítson a SIEM kijelölt vevőjének.

* Egyéb pluginek: A Snort a verziótól és a telepítéstől függően támogatja a többi kimeneti beépülő modulot. Ide tartozhatnak az egyes adatbázisok vagy rendszerek specifikus pluginjai. A rendelkezésre álló beépülő modulok teljes listájáért olvassa el a Snort dokumentációját.

Példa konfigurációs részlet (egy fájlhoz):

Ez egy egyszerűsített példa. A teljes konfiguráció függ a horkantól és a beállításától.

`` `

Unified2:Kimeneti Unified2 FileName:/var/log/snort/alerts.log

`` `

Példa konfigurációs részlet (adatbázishoz - MySQL):

Ez egy egyszerűsített példa is, és megfelelő adatbázis -beállítást és engedélyeket igényel. Cserélje ki a helyőrzőket a tényleges értékeire.

`` `

Unified2:output Unified2 MySQL DBName =snort_alerts user =snort_user password =mysecurePassword host =127.0.0.1 port =3306

`` `

Röviden:a Snort Riasztási Adatok tárolásának lényege a megfelelő kimeneti beépülő modul kiválasztása és konfigurálása, valamint a célhely (adatbázis, fájl, Syslog szerver, SIEM stb.) Meghatározása. Ezeknek a beépülő moduloknak a megfelelő konfigurálása elengedhetetlen a hatékony biztonsági megfigyeléshez és az események reagálásához.