SnortSnarfの導入


SnortをServer系に入れているのですが、Snortの吐き出すログを見ていると
結構直感的には分かりにくい(視覚的に分かりやすいものが欲しい)と思いました。
そこで、SnortSnarfというPerlスクリプトを使用することにしました。これは、
Snortのログを整理してhtmlフォーマットで出力するものです。

1. Snortのインストール
   
2. SnortSnarfのインストール
   
    http://www.silicondefense.com/software/snortsnarf/
  
  から、SnortSnarf-020516.1.tar.gz(8/18日現在最新版)をダウンロードします。

3. ~/work/snort以下で、SnortSnarfを解凍します。

   tar -xvzf /src/SnortSnarf-020516.1.tar.gz

4. su - でrootになります。

5. /usr/local/snortsnarfディレクトリを作成します。

   mkdir /usr/local/snortsnarf

6. /work/snort/SnortSnarf-020516.1以下からsnortsnarf.plを/usr/local/snortsnarf以下
   にコピーします。

   cp snortsnarf.pl /usr/local/snortsnarf/

7. DebianにPerlのモジュールをapt-getを用いて入れます。

    apt-get install perl-modules
    apt-get install libtimedate-perl
    apt-get install libperl-dev
    apt-get install libperl5.6
    apt-get install libtimedate-perl
    apt-get install libtime-modules-perl
    apt-get install libwww-perl

8. ~/work/snort/SnortSnarf-020516.1/include以下を/usr/lib/perl5/内にコピーします。

   cp -a ~/work/snort/SnortSnarf-020516.1/include/* /usr/lib/perl5

9. ~/work/snort/SnortSnarf-020516.1/include/SnortSnarf以下を/usr/lib/perl5/内にコピーします。

   cp -a ~/work/snort/SnortSnarf-020516.1/include/SnortSnarf/* /usr/lib/perl5

10. SnortSnarfの出力結果先を作成する

  mkdir /usr/local/apache/htdocs/snort

11. root権限で(snortのログの権限をきちんと考えれば、rootじゃなくても良いかも)を
  用いて、以下のコマンドを実行する。

  /usr/local/snortsnarf/snortsnarf.pl 「snortのalertをフルパスで」 -d 「出力先」

     実行例
     /usr/local/snortsnarf/snortsnarf.pl /var/log/snort/alert -d /usr/local/apache/ht
docs/snort/

12. http://www.honto.info/snort/index.htmlのような画面が作成される

あとは、これをcronなどを使って定期的に更新してあげれば見やすいかと思います。