Я использую Snort, действуя как сетевой IDS, реализуя файл конфигурации snort и правила snort, я также хочу захватывать все пакеты (трафик), проходящие через определенный сетевой интерфейс. Моя команда sudo snort -dev -P 65535 -i wlan0 -c /etc/snort/snort.conf -l /var/log/snort/ и формат журнала, который мне нужен,
07/20-13:09:52.667262 34:DE:1A:26:03:18 -> 01:00:5E:7F:FF:FA type:0x800 len:0xAF
192.168.1.5:60857 -> 239.255.255.250:1900 UDP TTL:1 TOS:0x0 ID:29142 IpLen:20 DgmLen:161
Len: 133
4D 2D 53 45 41 52 43 48 20 2A 20 48 54 54 50 2F M-SEARCH * HTTP/
31 2E 31 0D 0A 48 6F 73 74 3A 32 33 39 2E 32 35 1.1..Host:239.25
35 2E 32 35 35 2E 32 35 30 3A 31 39 30 30 0D 0A 5.255.250:1900..
53 54 3A 75 72 6E 3A 73 63 68 65 6D 61 73 2D 75 ST:urn:schemas-u
70 6E 70 2D 6F 72 67 3A 64 65 76 69 63 65 3A 49 pnp-org:device:I
6E 74 65 72 6E 65 74 47 61 74 65 77 61 79 44 65 nternetGatewayDe
76 69 63 65 3A 31 0D 0A 4D 61 6E 3A 22 73 73 64 vice:1..Man:"ssd
70 3A 64 69 73 63 6F 76 65 72 22 0D 0A 4D 58 3A p:discover"..MX:
33 0D 0A 0D 0A
3....
Однако я не могу получить журналы в каталоге журналов. Разрешение каталога журналов - 777. Итак, я хочу знать, можно ли создавать журналы пакетов, когда он работает в режиме NIDS?
Любая помощь была бы замечательной. Спасибо
В Режим NIDS, Snort будет захватывать только те пакеты, которые запускают правила, указанные в файле snort.conf. Убедитесь, что вы используете фиктивные правила для тестирования и генерируете интересный трафик для срабатывания правил. Затем вы должны увидеть, как пакеты регистрируются в указанном вами каталоге. Также убедитесь, что вы сначала проверили это на проводном интерфейсе.