Snort et MySql

Snort et MySql - réseaux et sécurité - Linux et OS Alternatifs

Marsh Posté le 29-03-2007 à 13:02:45    

:hello:
 
J'ai décidé de rediriger mes alertes snorts vers une base de donnée locale mysql, pour analyser les alertes via ACID.
 
Donc j'ai donc rajouté dans mon fichier snort.conf  

Code :
  1. output database: log, mysql, user=snort password=slsfr42 dbname=snort host=localhost


 
J'ai bien une base snort et un user snort qui a le droit de faire des select, update, delete dans la base snort
 

Code :
  1. [root@stpxfd2a ~]# mysql -u snort --password='XXXX' snort
  2. Reading table information for completion of table and column names
  3. You can turn off this feature to get a quicker startup with -A
  5. Welcome to the MySQL monitor.  Commands end with ; or \g.
  6. Your MySQL connection id is 54 to server version: 5.0.27
  8. Type 'help;' or '\h' for help. Type '\c' to clear the buffer.
  10. mysql> show tables;
  11. +------------------+
  12. | Tables_in_snort  |
  13. +------------------+
  14. | acid_ag          |
  15. | acid_ag_alert    |
  16. | acid_event       |
  17. | acid_ip_cache    |
  18. | data             |
  19. | detail           |
  20. | encoding         |
  21. | event            |
  22. | icmphdr          |
  23. | iphdr            |
  24. | opt              |
  25. | reference        |
  26. | reference_system |
  27. | schema           |
  28. | sensor           |
  29. | sig_class        |
  30. | sig_reference    |
  31. | signature        |
  32. | tcphdr           |
  33. | udphdr           |
  34. +------------------+
  35. 20 rows in set (0.00 sec)
  37. mysql> select * from detail;
  38. +-------------+-------------+
  39. | detail_type | detail_text |
  40. +-------------+-------------+
  41. |           0 | fast        |
  42. |           1 | full        |
  43. +-------------+-------------+
  44. 2 rows in set (0.00 sec)


 
 
Quand je stop snort, je voies qu'il y a eu des alerts et des infos loggué
 

Code :
  1. Mar 29 12:55:05 stpxfd2a snort[6373]: Snort received 404901 packets
  2. Mar 29 12:55:05 stpxfd2a snort[6373]:     Analyzed: 202449(50.000%)
  3. Mar 29 12:55:05 stpxfd2a snort[6373]:     Dropped: 0(0.000%)
  4. Mar 29 12:55:05 stpxfd2a snort[6373]:     Outstanding: 202452(50.000%)
  5. Mar 29 12:55:05 stpxfd2a snort[6373]: ===============================================================================
  6. Mar 29 12:55:05 stpxfd2a snort[6373]: Breakdown by protocol:
  7. Mar 29 12:55:05 stpxfd2a snort[6373]:     TCP: 136626     (67.487%)         
  8. Mar 29 12:55:05 stpxfd2a snort[6373]:     UDP: 10645      (5.258%)         
  9. Mar 29 12:55:05 stpxfd2a snort[6373]:    ICMP: 26         (0.013%)         
  10. Mar 29 12:55:05 stpxfd2a snort[6373]:     ARP: 23903      (11.807%)
  11. Mar 29 12:55:05 stpxfd2a snort[6373]:   EAPOL: 0          (0.000%)
  12. Mar 29 12:55:05 stpxfd2a snort[6373]:    IPv6: 0          (0.000%)
  13. Mar 29 12:55:05 stpxfd2a snort[6373]: ETHLOOP: 11         (0.005%)
  14. Mar 29 12:55:05 stpxfd2a snort[6373]:     IPX: 0          (0.000%)
  15. Mar 29 12:55:05 stpxfd2a snort[6373]:    FRAG: 0          (0.000%)         
  16. Mar 29 12:55:05 stpxfd2a snort[6373]:   OTHER: 31128      (15.376%)
  17. Mar 29 12:55:05 stpxfd2a snort[6373]: DISCARD: 110        (0.054%)
  18. Mar 29 12:55:05 stpxfd2a snort[6373]: ===============================================================================
  19. Mar 29 12:55:05 stpxfd2a snort[6373]: Action Stats:
  20. Mar 29 12:55:05 stpxfd2a snort[6373]: ALERTS: 2
  21. Mar 29 12:55:05 stpxfd2a snort[6373]: LOGGED: 12
  22. Mar 29 12:55:05 stpxfd2a snort[6373]: PASSED: 0
  23. Mar 29 12:55:05 stpxfd2a snort[6373]: ===============================================================================
  24. Mar 29 12:55:05 stpxfd2a snort[6373]: TCP Stream Reassembly Stats:
  25. Mar 29 12:55:05 stpxfd2a snort[6373]:     TCP Packets Used: 135158     (66.762%)
  26. Mar 29 12:55:05 stpxfd2a snort[6373]:     Stream Trackers: 471       
  27. Mar 29 12:55:05 stpxfd2a snort[6373]:     Stream flushes: 69       
  28. Mar 29 12:55:05 stpxfd2a snort[6373]:     Segments used: 69       
  29. Mar 29 12:55:05 stpxfd2a snort[6373]:     Segments Queued: 69       
  30. Mar 29 12:55:05 stpxfd2a snort[6373]:     Stream4 Memory Faults: 0         
  31. Mar 29 12:55:05 stpxfd2a snort[6373]: ===============================================================================
  32. Mar 29 12:55:05 stpxfd2a kernel: device eth0 left promiscuous mode
  33. Mar 29 12:55:05 stpxfd2a kernel: audit(1175165705.282:46): dev=eth0 prom=0 old_prom=256 auid=4294967295


 
Une idée sur le problème ?


Message édité par madsurfer le 29-03-2007 à 14:12:47
Reply

Marsh Posté le 29-03-2007 à 13:02:45   

Reply

Marsh Posté le 29-03-2007 à 13:06:13    

Le dialogue avec la base snort semble se faire correctement
 

Code :
  1. [root@stpxfd2a ~]# snort -T -c /etc/snort/snort.conf
  3. ....
  4. database: compiled support for ( mysql )
  5. database: configured to use mysql
  6. database:          user = snort
  7. database: password is set
  8. database: database name = snort
  9. database:          host = localhost
  10. database:   sensor name = stpxfd2a.a-sis.division-savoye.ad:NULL
  11. database:     sensor id = 1
  12. database: schema version = 107
  13. database: using the "log" facility
  14. +--[Pattern Matcher:Aho-Corasick Summary]----------------------
  15. | Alphabet Size    : 256 Chars
  16. | Sizeof State     : 2 bytes
  17. | Storage Format   : Full
  18. | Num States       : 116372
  19. | Num Transitions  : 4108917
  20. | State Density    : 13.8%
  21. | Finite Automatum : DFA
  22. | Memory           : 153.37Mbytes
  23. +-------------------------------------------------------------

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed