snort 可以将端口扫描（sfPortscan）的警报输出到系统日志吗？

Question

我已经为此努力了太久。我相信答案应该是显而易见的，但是...

Snort手册： http://www.snort.org/assets/125/snort_manual-2_8_5_1.pdf 在第 39 页（根据 Acrobat Reader 为第 40 页）列出了两个日志输出，即：“统一输出”和“日志文件输出”，我猜前者是指“统一”输出模式...这让我认为答案是“不，snort 无法将检测到的端口扫描的警报输出到 syslog。”

我一直在使用的配置文件是：

alert tcp any 80 -> any any (msg:"TestTestTest"; content: "testtesttest"; sid:123) preprocessor sfportscan: proto  { all } \
                         memcap { 10000000 } \
                         scan_type { all } \
                         sense_level { high } \
                         logfile { pscan.log }

（是的，我知道这是非常基础的）。

一个简单的 nmap 触发输出到 pscan.log

有人能证实这一点吗？或者指出我该怎么做？

Answer 1

Snort 有许多输出选项。它过去曾包含 syslog，但即使目前没有，您也可以使用 barnyard 输出到 syslog（我猜 barnyard2 也有，但我没有测试过）。

---

编辑

我想我理解你的困惑。第 96 页，共手册是否详细记录（警报）到系统日志，但是您所指的日志是用于记录的数据包，而不是警报。

所以是的，您可以将警报写入系统日志，但不能将数据包记录到系统日志。