Что вы настраиваете для хранения данных о предупреждении, записанных датчиком Snort?

Вы настраиваете плагины вывода в фырканье, чтобы сохранить данные о предупреждении, записанные датчиком. Snort не хранит данные; Необходимо явно рассказать, где и как отправлять информацию о предупреждении. Общие плагины и конфигурации общего вывода включают:

* `Unified2` (или аналогичный): Это общий и очень универсальный выходной плагин, который позволяет использовать различные методы выхода. Вы бы настроили этот плагин с назначением для данных оповещения. Это может быть:

* база данных: Это часто предпочтительнее для долгосрочного хранения и анализа. Популярный выбор включают MySQL, PostgreSQL и Elasticsearch. Вам нужно указать данные подключения к базе данных (хост, порт, имя пользователя, пароль, имя базы данных) в конфигурации `Unified2`.

* файл: Проще настройки, но менее масштабируемым для больших развертываний. Это включает в себя указание пути файла, где фланг будет писать данные о предупреждении. Формат файла обычно настраивается (например, текст, CSV). Механизмы вращения и архивирования важны для управления дисковым пространством.

* Сервер Syslog: Это отправляет оповещения на центральный сервер системного журнала о агрегации и анализе. Вам нужен IP -адрес и порт сервера Syslog.

* специальная система SIEM (информация о безопасности и управление событиями): Siems предназначены для сбора, анализа и управления журналами безопасности из различных источников, включая фырканье. Вы настроили плагин `Unified2` для пересылки предупреждениям на назначенный приемник SIEM.

* Другие плагины: Snort поддерживает другие выходные плагины в зависимости от версии и установки. Они могут включать конкретные плагины для конкретных баз данных или систем. Проконсультируйтесь с документацией Snort для полного списка доступных плагинов.

пример фрагменты конфигурации (для файла):

Это упрощенный пример. Полная конфигурация будет зависеть от вашей версии и настройки.

`` `

Unified2:выход Unified2 Filename:/var/log/snort/alerts.log

`` `

пример фрагменты конфигурации (для базы данных - MySQL):

Это также упрощенный пример и требует соответствующей настройки базы данных и разрешений. Замените заполнители на ваши фактические значения.

`` `

Unified2:output Unified2 MySQL dbname =snort_alerts user =snort_user password =mysecurepassword host =127.0.0.1 Port =3306

`` `

Короче говоря, ядро хранения данных о предупреждении обнурания - это выбор и настройка соответствующего плагина вывода и определение целевого местоположения (база данных, файла, сервера системного журнала, SIEM и т. Д.) Для этого плагина. Правильная настройка этих плагинов имеет решающее значение для эффективного мониторинга безопасности и ответа на инцидент.