为什么我的snort检测不出alert啊！

weixin_38051859 2007-05-11 08:33:23

我配置snort是为了生成安全事件仓库，做毕设用！
在这里我把我的安装过程说一下，希望能帮我找出问题所在！不胜感激啊！
我用的是readhat且是通过虚拟机vmware，通过ssh进行的整个安装过程，我的linux系统是完全安装的，而且是新安装的，所以像mysql,php,httpd等都已经有了，能正常启动。假设我的虚拟机的ip是192.168.0.1
1、groupadd snort
   useradd -g snort snort（我是参考别人的安装笔记安装的，对于这一步不是很理解，没有可不可以）
2、我把snort+acid+adodb+jpgraph放在/usr/local/src下了
cd /usr/local/src
   tar zxvf snort-2.2.0
./configure --with-mysql=/usr/include/mysql（我的系统自带mysql，所以不知道这个路径对不对，会不
会对snort的运行有影响）
make
make install
cd rules(/usr/local/src/snort-2.2.0/rules)
cp * /etc/snort
cd ../etc
cp snort.conf /etc/snort
cp *.config /etc/snort
cd /etc/snort
vi snort.conf
把“# var HOME_NET 10.1.1.0/24”改成“var HOME_NET 192.168.0.1/24”，把前面的#号去掉。
把“var RULE_PATH ../rules”改成“var RULE_PATH /etc/snort”
把“# output database: log, mysql, user=root password=test dbname=db host=localhost”改成“output database: log, mysql, user=root password=123456 dbname=snort host=localhost”密码改成我自己的，把前面的#号去掉。
把“
   # include $RULE_PATH/web-attacks.rules
   # include $RULE_PATH/backdoor.rules
   # include $RULE_PATH/shellcode.rules
   # include $RULE_PATH/policy.rules
   # include $RULE_PATH/porn.rules
   # include $RULE_PATH/info.rules
   # include $RULE_PATH/icmp-info.rules
   include $RULE_PATH/virus.rules
   # include $RULE_PATH/chat.rules
   # include $RULE_PATH/multimedia.rules
   # include $RULE_PATH/p2p.rules”前面所有的#号删除。修改完毕后，保存退出。
3、service mysqld start
   mysql
   create database snort;
   grant INSERT,SELECT on root .* to snort@localhost;
   exit;
4、cd /usr/local/src/snort-2.2.0/contrib/mysql<create_mysql snort
   zcat snortdb-extra.ge | mysql snort(这句话有什么作用，我不写路径对不对，我不知道我的系统mysql
   安装在哪了)
5、我的网页的根目录是/var/www/html
   我把jpgraph  adodb acid都放在这了
tar zxvf adodb390.tgz
tar zxvf jpgraph-1.20.5.tar.gz
mv jpgraph-1.20.5 jpgraph
tar zxvf ACID-0.9.6b21.tar.gz(这个是snort的包里带的)
cd acid
vi acid_conf.php
把“$DBlib_path = "";”  改成“$DBlib_path = "/var/www/html/adodb"
$alert_dbname = "snort_log";  //改成snort
$alert_host    = "localhost";
$alert_port    = "";
$alert_user    = "root";
$alert_password = "mypassword"; //改成我的数据库密码

/* Archive DB connection parameters */
$archive_dbname = "snort_archive";  //改成snort
$archive_host    = "localhost";
$archive_port    = "";
$archive_user    = "root";
$archive_password = "mypassword";”  //改成我的数据库密码

把“$ChartLib_path = "";” 改成“$ChartLib_path = "/var/www/html/jpgraph/src";”
修改完毕后，保存退出。
6、写一个snort规则（这段话有什么作用啊，里面的ip字段用改成我自己的吗？）
  # cd /usr/local/
# vi snort.sh
#!/bin/sh
snort -d -h 192.168.0.0/24 -l /var/log/snort -c /etc/snort/snort.conf -i eth0 -A full
# 保存退出。
  # chmod 755 snort.sh
7、service httpd start
192.168.0.1/acid可以正常显示acid页面

本以为这就ok了，不过后来发现不管snort怎么运行，acid上的各项数据都显示0，现在snort还检测不出alert，实在找不出哪有问题了，希望高人指点啊！

...全文