Snort + MySQL

[tuxbubling]

Salut a vous!!

Bon alors voila, j'ai des petits soucis pour faire fonctionner snort avec mysql

La base est bien créée, les access sont bons

snort se lance bien, fait du bazard, mais ne log strictement rien :(

ALERTS: 0

LOGGED: 0

PASSED: 0

C'est ennuyeux quand meme

Si vous aviez une idée je suis grave preneur!!

[tuxbubling]

Bon alors il ecrit bien bien dans la base de donnée (quand je change d'adresse ip il me met la nouvelle dans la table sensor), mais des que je spécifie mon fichier de conf il se retrouve incapable de logguer :(

Alors que lancé tel quel:

snort -dve -i eth0 -l /var/log/snort

et ben il log.....

Mon fichier de conf a l'air pourtant correct....

PLZ HEEEELLLLPPPPPPPPP

[tuxbubling]

Bah allé quoi les gars un ch'tit coup de main plz ;)

[tuxbubling]

Bon ben voila ca marche , me demandez pas pourquoi hein mais ca marche

[lorinc]

Bon ben voila ca marche , me demandez pas pourquoi hein mais ca marche 

pourquoi ça marche???

[tuxbubling]

Salaud

Vous voulez une explication sur la mise en place? ou c'est bon?

[SyGEN]

Personellement oui, ca m'intéresserait assez de savoir parce que le snort-mysql, que je lui mette toutes les options que je veux il continue à me loger en fichier.

Bref si t'as le .conf ultime pour le faire fonctionner via la db n'hésite pas.

[tuxbubling]

bon bien alors

il m'as fallu lui specifié en plus de l'hote (localhost) le port sur le quel la base tourne

"port=3306"

mis en log et pas juste alert.

Pour le lancer:

snort -c /etc/snort/snort.conf

et la ca doit aller normalement cher moi c'etait juste ca (enfin a priori...) sinon pour le faire logguer dans un fichier y'avit pas moyen a partir du moment ou je lui specifiait un fichier de conf....

Donc:

snort -dve -l /var/snort/ marche tres bien...mais bon c'est le mode sniffer pas IDS....

Voila

++

Ps: j'admet que mon explication pue un peu du cul....si ca va pas tu mle dit te ferais pt mon fichier de conf mais la jl'ai pas sous la main

[SyGEN]

Spécifier le port tu veux dire ...

dans le ruletype lui ajouter le port ainsi :

output database: log, mysql, user=snort dbname=snort host=localhost port=3306 ??

et juste ca ca va marcher ? hmmm j'ai des doutes mais bon essayons.

> "mis en log et pas juste alert"

ben pour l'instant j'ai pas joué encore avec trop d'options il est en LOG_AUTH LOG_ALERT.

[tuxbubling]

exact cher moi sans le port ca ne logguait pas :(

et le pass aussi hein

sinon quand je parlais de log cetait la:

output database: log, mysql, user=snort dbname=snort host=localhost port=3306 ??

sachant que ca doit etre ta seule ligne de "output" ... Désolé si mes explications sont vraiment a chier hein

Genre pas lui mettre aussi une sortie en output fichier binaire tcpdump sinon je pense pas que ca lui plaise trop....