问snort和端口扫描日志记录
EN

Stack Overflow用户

提问于 2011-04-27 00:17:21

回答 1查看 426关注 0票数 0

几天前，我发布了一个关于portscan日志的问题，但这是一个单独的问题，涉及新的portscan日志。

时间: 04/13-15:29:41.660134 event_id: 6042x.x -> x.x(端口扫描) UDP过滤端口扫描优先级计数:0连接计数:200IP计数: 66扫描仪IP范围:x.x:x.x端口/协议计数: 32端口/协议范围: 137:17500

我试着从这个日志中确定4件事，源IP，目的IP，源端口，目的端口。

我想要一些其他选项，但如果必要的话，将是端口扫描的类型和此扫描的标志。

再次感谢您能提供的任何帮助。

发布于 2011-05-31 14:04:22

协议是UDP，所以没有可用的标志(这是TCP的事情)。日志显示(如果我没看错)测试了32个端口，运行范围从137到17500，因此选择137和17500之外的30个端口，这就是所扫描的端口。更具体地说，您需要找到一种方法来分解信息，并将每个警报分解为其自己的事件并单独记录它们。

票数 1

页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://stackoverflow.com/questions/5793242

复制

相似问题

问snort和端口扫描日志记录EN