10、Snort日志配置与ACID安装配置全指南

Snort日志配置与ACID安装配置全指南

1. Snort统一日志配置

配置Snort的统一日志实际上相当简单。因为它只是转储原始数据，所以只需告诉Snort使用统一日志输出，并指定数据的写入位置。编辑 snort.conf 配置文件，添加以下内容：

output alert_unified: unified_alert_filename
output log_unified: unified_log_filename

默认情况下，这些文件将存放在 /var/log/snort 目录中。查看这些文件时，会发现文件名后面附加了一串数字，这是一个时间戳，用于区分不同的统一输出文件。与 alert_tcpdump 输出文件一样，时间戳是从纪元（即1970年1月1日）开始的秒数。

2. ACID依赖介绍

为了检索和呈现Snort警报信息，我们使用ACID（入侵检测分析控制台的缩写），这是一个专门为Snort量身定制的开源分析控制台。该控制台（实际上是一组PHP脚本和一个配置文件）需要以下支持程序：
- 支持PHP 4.0或更高版本脚本语言的Web服务器
- PHP 4.0或更高版本
- ADODB（Active Data Objects Data Base）
- JpGraph和PHPlot（用于绘制ACID检索的数据的包）

每个组件都必须安装并正确配置，ACID才能正常运行。

2.1 A