Kaj konfigurirate za shranjevanje opozorilnih podatkov, ki jih beleži senzor Snort?

Konfigurirate izhodne vtičnike Snort za shranjevanje opozorilnih podatkov, ki jih beleži senzor. Snort sam po sebi ne shranjuje podatkov; Izrecno mu je treba povedati, kje in kako poslati opozorilne podatke. Skupni izhodni vtičniki in konfiguracije vključujejo:

* `Unified2` (ali podobno): To je pogost in zelo vsestranski izhodni vtičnik, ki omogoča različne izhodne metode. Ta vtičnik konfigurirate z ciljem za opozorilne podatke. To bi lahko bilo:

* baza podatkov: To je pogosto prednost za dolgoročno shranjevanje in analizo. Priljubljene izbire vključujejo MySQL, PostgreSQL in Elasticsearch. V konfiguraciji `Unified2` morate določiti podatke o povezavi baze podatkov (gostitelja, vrata, uporabniško ime, geslo, ime baze podatkov).

* Datoteka: Enostavnejše za nastavitev, vendar manj razširljivo za velike uvajanja. To vključuje določitev poti datoteke, kjer bo Snort napisal opozorilne podatke. Oblika datoteke je običajno prilagodljiv (npr. Besedilo, CSV). Mehanizmi vrtenja in arhiviranja so pomembni za upravljanje prostora na disku.

* Syslog Server: To pošlje opozorila centralnemu strežniku Syslog za združevanje in analizo. Potrebujete IP naslov in vrata Syslog Server.

* Namenski sistem SIEM (varnostne informacije in upravljanje dogodkov): SIEM so zasnovani za zbiranje, analizo in upravljanje varnostnih dnevnikov iz različnih virov, vključno s Snort. Konfigurirate vtičnik `Unified2", da posredujete opozorila na določen sprejemnik vašega Siema.

* Drugi vtičniki: Snort podpira druge izhodne vtičnike, odvisno od različice in namestitve. Ti lahko vključujejo posebne vtičnike za določene baze podatkov ali sisteme. Za celoten seznam razpoložljivih vtičnikov se posvetujte z dokumentacijo Snort.

Primer konfiguracijskega odrezka (za datoteko):

To je poenostavljen primer. Celotna konfiguracija bo odvisna od vaše različice Snort in nastavitve.

`` `

Unified2:Output Unified2 ime datoteke:/var/log/snort/alerts.log

`` `

Primer konfiguracijskega odrezka (za bazo podatkov - mysql):

To je tudi poenostavljen primer in zahteva ustrezno nastavitev in dovoljenja baze podatkov. Zamenjajte imetnike z dejanskimi vrednostmi.

`` `

Unified2:izhod Unified2 mysql dbName =snort_alerts uporabnik =snort_user password =mySecurePassword Host =127.0.0.1 Port =3306

`` `

Skratka, jedro shranjevanja podatkov o opozorilu snort je izbira in konfiguriranje ustreznega izhodnega vtičnika in določanje ciljne lokacije (baza podatkov, datoteka, Syslog Server, SIEM itd.) Za ta vtičnik. Pravilna konfiguriranje teh vtičnikov je ključnega pomena za učinkovito varnostno spremljanje in odzivanje na incident.