如何在NIDS模式下使用Snort生成数据包日志？

Question

我使用Snort就像一个网络IDS，通过实现snort配置文件和snort规则，我还想捕获通过特定网络接口的所有数据包(流量)。我的命令是sudo snort -dev -P 65535 -i wlan0 -c /etc/snort/snort.conf -l /var/log/snort/，我想要的日志格式是

07/20-13:09:52.667262 34:DE:1A:26:03:18 -> 01:00:5E:7F:FF:FA type:0x800 len:0xAF
192.168.1.5:60857 -> 239.255.255.250:1900 UDP TTL:1 TOS:0x0 ID:29142 IpLen:20 DgmLen:161
Len: 133
4D 2D 53 45 41 52 43 48 20 2A 20 48 54 54 50 2F  M-SEARCH * HTTP/
31 2E 31 0D 0A 48 6F 73 74 3A 32 33 39 2E 32 35  1.1..Host:239.25
35 2E 32 35 35 2E 32 35 30 3A 31 39 30 30 0D 0A  5.255.250:1900..
53 54 3A 75 72 6E 3A 73 63 68 65 6D 61 73 2D 75  ST:urn:schemas-u
70 6E 70 2D 6F 72 67 3A 64 65 76 69 63 65 3A 49  pnp-org:device:I
6E 74 65 72 6E 65 74 47 61 74 65 77 61 79 44 65  nternetGatewayDe
76 69 63 65 3A 31 0D 0A 4D 61 6E 3A 22 73 73 64  vice:1..Man:"ssd
70 3A 64 69 73 63 6F 76 65 72 22 0D 0A 4D 58 3A  p:discover"..MX:
33 0D 0A 0D 0A  

                             3....

但是，我无法在日志目录中获得任何日志。日志目录的权限为777。所以我想知道，在NIDS模式下运行时，是否有可能生成数据包日志？

任何帮助都会很好。谢谢

Answer 1

在NIDS模式中，Snort只捕获触发snort.conf文件中指定的规则的数据包。确保使用虚拟规则进行测试，并为规则触发生成有趣的流量。然后，您应该开始看到正在您指定的目录中记录的数据包。另外，请确保您首先在有线接口上测试这一点。