为Snort重放pcap文件

Question

我现在有一个大概是标准的设置:我有一个运行Snort的物理服务器。Snort按应有的方式登录到其日志文件中。这些文件由barnyard2跟踪，它将流量写入到Snorby的数据库中。

Snort和barnyard2是作为systemd服务启动的。现在，除了Snort正在进行的网络流量分析之外，我还想每小时从不同的源读取pcap，并将我的Snort规则应用于它们。

幸运的是，snort直接提供了这个特性。但是，使用snort -r foo.pcap会启动一个新的Snort实例，这当然会导致一个新的日志文件。Barnyard2识别这个新的日志文件，并像预期的那样处理来自pcap的数据，=>规则很好，并且适用于pcap流量。但是，作为服务运行的Snort实例的通信量仍然写入旧文件，而且由于存在较新的日志文件，barnyard2没有处理这些数据包。

为了避免这种情况，我现在尝试使用tcpreplay将pcap重放到我的外部接口上，这样Snort服务就可以像处理任何其他通信一样处理数据包。不幸的是，如果以这种方式重放任何数据包，Snort就不匹配。通过snort -r运行的规则应该证明它们是正确的。

在使用tcpreplay时，我是否必须重写类似MAC地址的内容？值得一提的是，我必须用--enable-non-ether-decoders参数重新编译Snort，这样它才能读取pcap。

Answer 1

解决方案是使用tcprewrite通过tcprewrite --dlt=enet重写数据链路帧。问题似乎是相同的，需要用--enable-non-ether-decoders编译Snort。我认为它起源于虚拟化，它涉及到观察到的环境中的某个地方。