[2009-11-02 17:55:46.953+0900] (/10.10.0.10:514) => <33>snort[20586]: [1:1000000:0] what the hell {TCP} 10.10.0.10:5432 -> 10.10.0.8:1837
[2009-11-02 17:55:50.918+0900] (/10.10.0.10:514) => <33>last message repeated 7 times
[2009-11-02 18:08:59.228+0900] (/10.10.0.10:514) => <129>snort[24858]: [122:17:0] (portscan) UDP Portscan[Priority: 3]: {PROTO:255} 220.45.142.139 -> 10.10.0.10
[2009-11-02 18:13:28.419+0900] (/10.10.0.10:514) => <129>snort[24858]: [1:486:4] ICMP Destination Unreachable Communication with Destination Host is Administratively Prohibited [Classification: Misc activity] [Priority: 3]: {ICMP} 220.45.142.139 -> 10.10.0.2
감자가 alert_syslog 관련해서 내용 좀 추가할 예정
[A:B:C]에서 A는 GENERATOR ID, B는 SID, C는 REV
앞에 [2009-11-02 17:55:46.953+0900] (/10.10.0.10:514) => 부분은
크라켄 시스로그에서 찍은 부분이고 뒷부분이 실제 로그 데이터
파싱하기 귀찮게 생겼네..
태그 : snort
덧글
서린 2009/11/03 01:22 # 답글
굳이 syslog 거쳐서 딸 필요 있나요?
xeraph 2009/11/03 09:43 #
외부 서버에 연동하려면 syslog로 쏘는게 편해서요~