服务器 Gind.cn

服务器问题集锦,包括 Linux(Ubuntu, Centos,Debian等)和Windows Server服务器

Snort和OSSEC不能同时运行

我试图在由AWS Ubuntu 16.04实例组成的系统上设置IDS。 我的HIDS由OSSEC 2.8.1pipe理,我的NIDS由Snort 2.9.9.0pipe理(由Barnyard2版本2.1.14parsing,也pipe理Syslog转发)。 在这个实例(和之前的其他实例)中,当我一方面设置OSSEC,另一方面设置Snort / Barnyard2时,我注意到OSSEC(自动configuration为使用rsyslog进行日志logging)本身运行良好。 另外,当我把这行放到barnyard2.conf中,并且OSSEC没有运行时,Snort / Barnyard2工作正常。 output alert_syslog: LOG_LOCAL5 LOG_ALERT 但是,当HIDS和NIDS都在运行/转发到系统日志时,我的EC2实例冻结,我必须恢复映像以使其再次运行(即使我重新启动实例,我不能重新进入)。 我已经尝试将OSSEC和Snort / BY2logging到不同的文件,但是没有奏效。 我也尝试设置磁盘辅助内存队列,这也没有奏效。 我真的需要设定这一点,我不能只在一个和另一个之间进行select。 我已经将此文件添加到/etc/rsyslog.d : $template GRAYLOGRFC5424,"<%PRI%>%PROTOCOL-VERSION% %TIMESTAMP:::date-rfc3339% %HOSTNAME% %APP-NAME% %PROCID% %MSGID% %STRUCTURED-DATA% %msg%\n" $ActionQueueType LinkedList $ActionQueueFileName srvrfwd $ActionResumeRetryCount -1 $ActionQueueSaveOnShutdown on # For general Syslog info *.* @@wxyz:1514;GRAYLOGRFC5424 local5.alert /var/log/snort.log local5.alert @@wxyz:1515;GRAYLOGRFC5424 我还应该提到,这个文件正确地将Snort和其他rsyslog数据转发到中央日志logging服务器,并且我也可以为OSSEC设置中央日志logging,但是在任何给定的实例中,我不能运行OSSEC和Snort + Barnyard2 […]