所有的系统都需要某种类型的可以有效的纪录的机制,这种机.docVIP

所有的系统都需要某种类型的可以有效的纪录的机制，这种机制通常是通过后台的数据库来完成的。Snort可以同MySQL、Oracle或者其他任何一种ODBC兼容的数据库一起工作。在前面的章节中，你已经了解了你可以通过输出模块将日志和告警保存在数据库中，这对保存历史数据并产生报告和分析数据是非常有用的。利用如ACID（将在下一章讨论）之类的工具，也可以得到关于入侵特征非常有用的信息，例如你可以得到最后15次攻击的报告，其中的信息包括连续攻击你的网络的主机，攻击不同协议的分布等等。 MySQL是可以免费得到的数据库系统，并且能够在Linux和其他操作系统上很好的工作，因此对于Snort来说，是一种很自然的选择。 你可以在运行Snort的机器上同时安装MySQL服务器，如图5-1所示。 你也可以将MySQL服务器安装到另外一台机器上，并将Snort日志记录到这台机器，如图5-2所示。 你也可以用一台中心MySQL服务器记录多个Snort感应器的信息，如图5-3所示。 方案的选择取决于你的特定需求。例如，你只有一个Snort感应器，并且没有现有的数据库服务器，这样一个很自然的做法是将数据库和Snort安装在同一个机器上。但如果你有多个Snort机器，就应该建立一个中心数据库服务器，如图5-5所示。 如果从远程Snort机器登录到独立的数据库服务器上，在传输数据的时候可以不采取安全措施，也可以采用某种加密手段。利用安全隧道，所有在Snort机器和数据库服务器之间传输的数据都将被加密，这种手段也可以用于穿越防火墙的情况，因为这时你可以利用防火墙已经打开的端口。 在将Snort数据记录到MySQL数据库之前，你建立一个库。建立数据库后，必须要为数据库创建表用来记录Snort数据。你可以在/snortdb/参考关于这些表的详情，你可能需要重新编译Snort才能够支持MySQL，本章的后面将会对此做出说明。 学习完本章后，你将可以安装Snort和MySQL并将所有的Snort活动记录到数据库中。你也将了解如何用中心数据库服务器纪录多个Snort机器的数据。本章的最后部分将提供用安全隧道来管理Snort和远程数据库服务器间传输通道安全的信息。 5．1使Snort与MySQL共同工作 为使Snort与MySQL共同工作，有几个事情需要做。下面是建立Snort-MySQL系统的步骤。关于每个步骤的详细信息将在本章的后面介绍。 编译Snort使之支持MySQL并安装，并测试一些告警以确信Snort工作正常。在第2章已经叙述过，你需要在运行configure脚本的时候加上—with-mysql的命令行参数。 安装MySQL并用mysql客户端来确定数据库可以正常工作。 在MySQL服务器中创建一个数据库，我将这个数据库命名为snort，你也可以叫它其他的名字。本章的后面将对此进行详细讨论。 为数据库创建一个用户及口令，Snort将用这个用户名来记录数据。 用snort分发包的contrib目录下面的脚本来为数据库创建表。。 修改snort.conf，使数据库模块起作用，本章的后面将对此进行讨论。在此你将用到刚刚建立的数据库的名称和用户名及口令。。 重新启动Snort，如果一切正常，Snort将开始向数据库记录数据。 产生一些告警并用mysql客户端程序来确定告警已被纪录。 本章的剩下部分将解释如何实现这些步骤，下一章将讨论ACID的应用，此时本章你做的事情才能够得到实际的应用价值。 5.1.1 第一步：使Snort支持MySQL的编译方法 如果你需要使Snort支持MySQL数据库，那么你必须在编译的时候带上—with-mysql的参数。在第二章中，我们已经叙述过如何用configure脚本来做这样的事情。 典型的configure脚本命令行运行方式如下所示： ./configure --prefix=/opt/snort --with-mysql=/usr/lib/mysql 我建议你在运行configure脚本的时候，同时加入其他组件的支持，如SNMP等，它们也是非常有用的。在编译的时候，MySQL的系统库文件必须在/usr/lib/mysql中存在才能成功。详细信息可以在第二章中查阅。 5．1．2 第二步：安装MySQL 我建议你用随RedHat或其他Linux发行版附带的软件包来安装MySQL，这是最简单的方式。MySQL同时也有用于Windows平台的。当然，你也可以在来获得MySQL服务器和客户端的源代码自己编译并安装它，但是我认为你在具有一定的经验的时候采用这种方式。 5.1.3 第三步：在MySQL中建立Snort数据库。 一旦你完成了编译支持MySQL的Snort,那么下面要做的就是建立一个Snort用来记录数据的数据库了。在开始使用MyS