Što konfigurirate za pohranjivanje podataka o upozorenju snimljenih od strane Snort Sensor?
* `Unified2` (ili slično): Ovo je uobičajeni i vrlo svestran izlazni dodatak koji omogućava različite izlazne metode. Konfigurirali biste ovaj dodatak s odredištem za podatke upozorenja. Ovo bi moglo biti:
* baza podataka: To se često preferira za dugoročno skladištenje i analizu. Popularni izbori uključuju MySQL, PostgreSQL i Elasticsearch. Morate navesti podatke o vezi s bazom podataka (host, port, korisničko ime, lozinka, naziv baze podataka) u konfiguraciji `Unified2`.
* datoteka: Jednostavnije za postavljanje, ali manje skalabilan za velike implementacije. To uključuje određivanje staze datoteke na kojem će Snort napisati podatke o upozorenju. Format datoteke je obično prilagodljiv (npr. Tekst, CSV). Mehanizmi rotacije i arhiviranja važni su za upravljanje prostorom na disku.
* Syslog poslužitelj: Ovo šalje upozorenja na središnji Syslog poslužitelj na združivanje i analizu. Potrebna vam je IP adresa i priključak Syslog poslužitelja.
* Posvećeni SIEM (sigurnosne informacije i upravljanje događajima) sustav: SIEM -ovi su dizajnirani za prikupljanje, analizu i upravljanje sigurnosnim zapisnicima iz različitih izvora, uključujući Snort. Konfigurirali biste dodatak `Unified2` za prosljeđivanje upozorenja na svoj SIEM -ov imenovani prijemnik.
* Ostali dodaci: Snort podržava ostale izlazne dodatke, ovisno o verziji i instalaciji. Oni mogu uključivati određene dodatke za određene baze podataka ili sustava. Posavjetujte se s dokumentacijom Snort za potpuni popis dostupnih dodataka.
Primjer Konfiguracijskog isječka (za datoteku):
Ovo je pojednostavljeni primjer. Potpuna konfiguracija ovisit će o vašoj verziji i postavljanju Snort -a.
`` `` ``
Unified2:izlaz Unified2 Naziv datoteke:/var/log/snort/alerts.log
`` `` ``
Primjer Konfiguracijskog isječka (za bazu podataka - MySQL):
Ovo je također pojednostavljeni primjer i zahtijeva odgovarajuće postavljanje i dopuštenja baze podataka. Zamijenite držače mjesta sa svojim stvarnim vrijednostima.
`` `` ``
Unified2:Izlaz Unified2 MySQL DBNAME =Snort_Alerts Korisnik =Snort_User Password =MySecurePassword Host =127.0.0.1 Port =3306
`` `` ``
Ukratko, jezgra pohranjivanja podataka o upozorenju za Snort odabir i konfiguriranje odgovarajućeg izlaznog dodatka i određivanje ciljane lokacije (baza podataka, datoteka, Syslog Server, SIEM itd.) Za taj dodatak. Pravilno konfiguriranje ovih dodataka ključno je za učinkovito nadgledanje sigurnosti i odgovor na incident.