SNORT: packet logger mode
SUmber: http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html
Jika kita ingin merekam paket ke disk, kita perlu memberitahukan directory untuk menyimpan paket, maka snort akan langsugn switch ke packet logger mode,
snort -dev -l ./log snort -dev -l /var/log/snort
Ketika Snort berjalan dalam mode ini, ia mengumpulkan setiap paket yang dilihatnya dan menempatkannya dalam hirarki direktori berdasarkan alamat IP dari salah satu host di datagram
Jika anda hanya menggunakan switch -l saja, akan melihat snort kadang kala menggunakan alamat remote komputer sebagai directory di mana ia menempatkan paket dan kadang-kadang menggunakan alamat host lokal. Agar menyimpan log relatif ke jaringan lokal, anda perlu memberitahukan snort mana yang home network / jaringan lokal:
snort -dev -l /var/log/snort -h 192.168.0.0/24
Perintah ini memberitahu Snort bahwa anda ingin mencetak data link dan TCP/IP header serta data aplikasi ke dalam direktori /var/log/snort, dan anda ingin log paket relatif terhadap jaringan kelas C 192.168.1.0. Semua paket yang masuk akan disimpan ke subdirektori dari direktori log, dengan nama direktori yang berbasis pada alamat remote host (non-192.168.1).
Catatan:
Perhatikan bahwa jika kedua sumber dan tujuan host di jaringan lokal yang sama, mereka akan di catat ke direktori dengan nama berdasarkan nomor port yang lebih tinggi lebih dulu, jika sama, maka digunakan alamat sumber.
Jika anda berada di jaringan kecepatan tinggi atau Anda ingin log paket ke bentuk yang lebih kompak untuk analisis nanti, anda harus mempertimbangkan logging dalam mode biner. Log paket dalam mode biner dalam format tcpdump ke file biner tunggal dalam direktori logging:
snort -l /var/log/snort -b
Perhatikan baris perintah perubahan di sini. Kita tidak perlu menentukan jaringan rumah lagi karena mode biner menyimpan semua ke dalam satu file, yang menghilangkan kebutuhan untuk memberitahukan bagaimana format struktur direktori output. Selain itu, anda tidak perlu berjalan dalam mode verbose atau menentukan switch -d atau -e karena dalam mode biner seluruh paket di catat, bukan hanya sebagian. Yang benar-benar anda perlu lakukan untuk menempatkan Snort ke mode logger adalah untuk menentukan direktori logging pada baris perintah menggunakan switch -l sementara switch binary logging -b hanya memberitahu Snort untuk log paket dalam format output selain default teks ASCII biasa.
Setelah paket telah dicatat ke file biner, anda dapat membaca paket kembali dari file dengan sniffer yang mendukung format biner tcpdump (seperti tcpdump atau Ethereal). Snort juga dapat membaca paket kembali dengan menggunakan switch -r, yang menempatkan ke mode playback. Paket dari setiap tcpdump diformat file yang dapat diproses melalui Snort dalam mode yang dijalankan. Misalnya, jika anda ingin menjalankan file log biner melalui Snort dalam mode sniffer untuk menampilkan paket ke layar, anda dapat mencoba sesuatu seperti ini:
snort -dv -r packet.log
Anda dapat memanipulasi data di file dengan sejumlah cara melalui packet logging dan mode deteksi intrusi, serta dengan antarmuka BPF yang tersedia dari baris perintah. Misalnya, jika Anda hanya ingin melihat paket ICMP dari file log, hanya menentukan filter BPF pada baris perintah dan Snort hanya akan melihat paket ICMP dalam file:
snort -dvr packet.log icmp
Untuk informasi lebih lanjut bagaimana cara menggunakan interface BPF, ada baiknya membaca manual tcpdump dan snort.