9、Snort日志与警报的深度解析

Snort日志与警报的深度解析

1. Snort简介与运行模式

Snort可用于记录攻击数据而不生成警报，它有多种运行方式：
- 作为守护进程，持续在后台运行，监控网络中的入侵尝试。
- 从命令行作为数据包嗅探器（类似于tcpdump）。
- 作为超级数据包嗅探器，捕获数据并实时与已知攻击特征进行比较。

Snort从1.6版本开始使用输出模块（output modules）或输出插件（output plug - ins）来处理日志和警报输出设施发送的数据。警报和日志设施本身不写入数据，而是将数据发送到相应的输出模块，由输出模块处理日志的格式化和写入。用户可以编写自己的输出模块，也可以组合多个输出模块进行自定义日志记录。

2. 警报模块

2.1 alert_fast

• 特点 ：以一行格式将警报打印到指定文件，速度快，因为Snort无需将数据包头部转换为ASCII或写入输出文件，从而节省CPU周期。
• 配置方法 ：
  • 在 snort.conf 文件中使用以下语法： output alert_fast: snort.log
  • 在命令行使用 -A fast 选项。
• 示例 ：