Problema dell'installazione di Swatch per rilevare l'intrusione

Question

Problema dell'installazione di Swatch per rilevare l'intrusione

#1 da (1 voti)

2

Ho installato snort e voglio usare lo strumento swatch per mandarmi una mail quando rileva qualcosa che non va. Sto usando OSX e ho seguito la guida di installazione: link

Nel file .swatchrc, ho aggiunto queste righe:

watchfor /Priority\: 1/i
mail addresses=USERNAME\@DOMAIN,subject=[SNORT] Priority 1 Alert

Metto lo swatch come demone:

sudo swatch --daemon -c /etc/swatch/.swatchrc -t /var/log/snort/alert

e infine ha scritto un file plist per avviare lo swatch all'avvio. Il problema è che non ricevo nulla quando mi collego al mio sistema operativo con una connessione ssh da un altro dispositivo. Qualcuno potrebbe aiutare?

(Ecco il file plist

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://
www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
        <key>Label</key>
        <string>net.sourceforge.swatch</string>
        <key>KeepAlive</key>
        <false/>
        <key>RunAtLoad</key>
        <true/>
        <key>ProgramArguments</key>
        <array>
                <string>/usr/local/bin/swatch</string>
                <string>--daemon</string>
                <string>-c</string>
                <string>/etc/swatch/.swatchrc</string>
                <string>-t</string>
                <string>/var/log/snort/alert</string>
Page 16 of 17        </array>
        <key>ServiceDescription</key>
        <string>Swatch 3.2.3</string>
</dict>
</plist>)

macosx snort

posta epsilones 12.11.2012 - 23:42

fonte

1 risposta

Leggi altre domande sui tag macosx snort

Come calcolare il CVSS di un attacco in modo che corrisponda a quelli in CVE? Come configurare Kismet per rinominare gli stessi BSSID in un ciclo?

score 1 · Accepted Answer

Per impostazione predefinita, lo swatch usa sendmail. Assicurati che sendmail possa inviare messaggi correttamente da un prompt bash. Il secondo passo per eseguire il debug di questo problema sarebbe quello di leggere effettivamente il tuo file /var/log/snort/alert per vedere se esistono informazioni utili. La soluzione a questo problema è molto probabilmente una necessità di configurare correttamente sendmail. C'è la possibilità che possa essere seduto in coda, ma non consegnato, secondo il caso dell'utente .