Вывод файла журнала snort sfportscan не имеет event_id, вместо этого event_ref и значение 0 - PullRequest
Новая
       5

Вывод файла журнала snort sfportscan не имеет event_id, вместо этого event_ref и значение 0

0 голосов
/ 15 ноября 2018

моя конфигурация следующая: 

preprocessor sfportscan: proto { all } \
scan_type  { all } \
sense_level { high } \
logfile { alert }

когда я запускаю snort и использую nmap для сканирования, выводится файл журнала следующим образом: 

Time: 02/23-12:54:21.183932 
event_ref: 0
[Source ip address] -> [Destination ip address] (portscan) TCP Portscan
Priority Count: 9
Connection Count: 10
IP Count: 1
Scanner IP Range: [Destination ip address]:[Destination ip address]
Port/Proto Count: 10
Port/Proto Range: 981:12174

но доктор фыркнул так: 

Time: 09/08-15:07:31.603880
event_id: 2
192.168.169.3 -> 192.168.169.5 (portscan) TCP Filtered Portscan
Priority Count: 0
Connection Count: 200
IP Count: 2
Scanner IP Range: 192.168.169.3:192.168.169.4
Port/Proto Count: 200
Port/Proto Range: 20:47557

Если на цели имеются открытые порты, добавляется один или несколько дополнительных тегированных пакетов: 

Time: 09/08-15:07:31.603881
event_ref: 2
192.168.169.3 -> 192.168.169.5 (portscan) Open Port
Open Port: 38458

У меня нет event_id, вместо этого event_ref и его значение 0

...