SNORT: packet logger mode - Revision history

Onnowpurbo: /* Logging ASCII */

2017-04-01T04:47:36Z

Logging ASCII

← Older revision		Revision as of 04:47, 1 April 2017
Line 61:		Line 61:

	snort -c /etc/snort/snort.conf -l /var/log/snort/ -K ascii		snort -c /etc/snort/snort.conf -l /var/log/snort/ -K ascii

			Kita bisa melihat hasilnya pada folder

			/var/log/snort

			akan ada

			* file snort.log - berbentuk binary, bisa di reply di wireshark.
			* file alert - berbentuk ASCII, berisi laporan pelanggaran.
			* folder IP address pelanggar, berisi file rekaman pelanggaran berbentuk ASCII.

	==Pranala Menarik==		==Pranala Menarik==

	* http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html		* http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html

Onnowpurbo at 04:17, 1 April 2017

2017-04-01T04:17:29Z

← Older revision		Revision as of 04:17, 1 April 2017
Line 1:		Line 1:
	Sumber: http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html		Sumber: http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html

	~~Packet logger mode pada dasarnya~~ merekam ~~traffic~~ yang ~~di terima~~.		Snort adalah aplikasi untuk pendeteksi penyusup yang masuk ke jaringan komputer kita.
			Salah satu fitur yang akan sangat bermanfaat adalah merekam semua data yang terdengar
			oleh komputer yang mengoperasikan snort. Teknik ini biasanya akan sangat bermanfaat
			untuk melakukan proses forensic pada saat terjadi kejadian cybercrime.
			Pada kesempatan ini kita akan membahas lebih dalam tentang teknik melakukan
			perekaman paket data menggunakan snort.

	~~==Folder Log Paket==~~		Mode untuk merekam paket pada snort sering di sebut packet logger mode.
			Format rekaman paket merupakan format pcap library. Oleh karena itu,
			bisa dengan mudah di baca oleh aplikasi penyadapan seperti wireshark.

	~~Switch ke~~ paket ~~log mode, dan~~ memberitahukan folder menyimpan ~~log~~		==Folder untuk Merekam==

			Teknik merekam paket tidak berbeda jauh dengan teknik sniffer pada snort.
			Bedanya kita hanya perlu memberitahukan folder yang digunakan sebagai
			tempat untuk menyimpan data yang di rekam. Folder tersebut diberitahukan
			menggunakan switch -l, sebagai berikut,

	snort -dev -l ./log		snort -dev -l ./log
Line 12:		Line 24:
	Ketika Snort berjalan dalam mode ini, ia mengumpulkan setiap paket yang dilihatnya dan menempatkannya dalam hirarki direktori berdasarkan alamat IP dari salah satu host di datagram		Ketika Snort berjalan dalam mode ini, ia mengumpulkan setiap paket yang dilihatnya dan menempatkannya dalam hirarki direktori berdasarkan alamat IP dari salah satu host di datagram

	Jika ~~anda~~ hanya menggunakan switch -l saja, akan melihat snort kadang kala menggunakan alamat remote komputer sebagai directory di mana ia menempatkan paket dan kadang-kadang menggunakan alamat host lokal. Agar menyimpan log relatif ke jaringan lokal, ~~anda~~ perlu memberitahukan snort mana yang home network / jaringan lokal:		Jika Kita hanya menggunakan switch -l saja, akan melihat snort kadang kala menggunakan alamat remote komputer sebagai directory di mana ia menempatkan paket dan kadang-kadang menggunakan alamat host lokal. Agar menyimpan log relatif ke jaringan lokal, Kita perlu memberitahukan snort mana yang home network / jaringan lokal:

	snort -dev -l /var/log/snort -h 192.168.0.0/24		snort -dev -l /var/log/snort -h 192.168.0.0/24

	Perintah ini memberitahu Snort bahwa ~~anda~~ ingin mencetak data link dan TCP/IP header serta data aplikasi ke dalam direktori /var/log/snort, dan ~~anda~~ ingin log paket relatif terhadap jaringan kelas C 192.168.1.0. Semua paket yang masuk akan disimpan ke subdirektori dari direktori log, dengan nama direktori yang berbasis pada alamat remote host (non-192.168.1).		Perintah ini memberitahu Snort bahwa Kita ingin mencetak data link dan TCP/IP header serta data aplikasi ke dalam direktori /var/log/snort, dan Kita ingin log paket relatif terhadap jaringan kelas C 192.168.0.0. Semua paket yang masuk akan disimpan ke subdirektori dari direktori log, dengan nama direktori yang berbasis pada alamat remote host (non-192.168.0).

	Catatan:		Catatan: Perhatikan bahwa jika kedua sumber dan tujuan host di jaringan lokal yang sama, mereka akan di catat ke direktori dengan nama berdasarkan nomor port yang lebih tinggi lebih dulu, jika sama, maka digunakan alamat sumber.

	Perhatikan bahwa jika kedua sumber dan tujuan host di jaringan lokal yang sama, mereka akan di catat ke direktori dengan nama berdasarkan nomor port yang lebih tinggi lebih dulu, jika sama, maka digunakan alamat sumber.		==Logging Biner==

	Jika ~~anda~~ berada di jaringan kecepatan tinggi atau ~~Anda~~ ingin log paket ke bentuk yang lebih kompak untuk analisis nanti, ~~anda~~ harus mempertimbangkan logging dalam mode biner. Log paket dalam mode biner dalam format tcpdump ke file biner tunggal dalam direktori logging:		Jika Kita berada di jaringan kecepatan tinggi atau Kita ingin log paket ke bentuk yang lebih kompak untuk analisis nanti, Kita harus mempertimbangkan logging dalam mode biner. Log paket dalam mode biner dalam format tcpdump ke file biner tunggal dalam direktori logging:

	snort -l /var/log/snort -b		snort -l /var/log/snort -b

	Perhatikan baris perintah perubahan di sini. Kita tidak perlu menentukan jaringan rumah lagi karena mode biner menyimpan semua ke dalam satu file, yang menghilangkan kebutuhan untuk memberitahukan bagaimana format struktur direktori output. Selain itu, ~~anda~~ tidak perlu berjalan dalam mode verbose atau menentukan switch -d atau -e karena dalam mode biner seluruh paket di catat, bukan hanya sebagian. Yang benar-benar ~~anda~~ perlu lakukan untuk menempatkan Snort ke mode logger adalah untuk menentukan direktori logging pada baris perintah menggunakan switch -l sementara switch binary logging -b hanya memberitahu Snort untuk log paket dalam format output selain default teks ASCII biasa.		Perhatikan baris perintah perubahan di sini. Kita tidak perlu menentukan jaringan rumah lagi karena mode biner menyimpan semua ke dalam satu file, yang menghilangkan kebutuhan untuk memberitahukan bagaimana format struktur direktori output. Selain itu, kita tidak perlu berjalan dalam mode verbose atau menentukan switch -d atau -e karena dalam mode biner seluruh paket di catat, bukan hanya sebagian. Yang benar-benar Kita perlu lakukan untuk menempatkan Snort ke mode logger adalah untuk menentukan direktori logging pada baris perintah menggunakan switch -l sementara switch binary logging -b hanya memberitahu Snort untuk log paket dalam format output selain default teks ASCII biasa.

	Setelah paket telah dicatat ke file biner, ~~anda~~ dapat membaca paket kembali dari file dengan sniffer yang mendukung format biner tcpdump (seperti tcpdump atau ~~Ethereal~~). Snort juga dapat membaca paket kembali dengan menggunakan switch -r, yang menempatkan ke mode playback. Paket dari setiap tcpdump diformat file yang dapat diproses melalui Snort dalam mode yang dijalankan. Misalnya, jika ~~anda~~ ingin menjalankan file log biner melalui Snort dalam mode sniffer untuk menampilkan paket ke layar, ~~anda~~ dapat mencoba sesuatu seperti ini:		==Membaca Log==

			Setelah paket telah dicatat ke file biner, Kita dapat membaca paket kembali dari file dengan sniffer yang mendukung format biner tcpdump (seperti tcpdump, Ethereal, atau wireshark). Snort juga dapat membaca paket kembali dengan menggunakan switch -r, yang menempatkan ke mode playback. Paket dari setiap tcpdump diformat file yang dapat diproses melalui Snort dalam mode yang dijalankan. Misalnya, jika Kita ingin menjalankan file log biner melalui Snort dalam mode sniffer untuk menampilkan paket ke layar, Kita dapat mencoba sesuatu seperti ini:

	snort -dv -r packet.log		snort -dv -r packet.log

	~~Anda~~ dapat memanipulasi data di file dengan sejumlah cara melalui packet logging dan mode deteksi intrusi, serta dengan antarmuka BPF yang tersedia dari baris perintah. Misalnya, jika ~~Anda~~ hanya ingin melihat paket ICMP dari file log, hanya menentukan filter BPF pada baris perintah dan Snort hanya akan melihat paket ICMP dalam file:		Kita dapat memanipulasi data di file dengan sejumlah cara melalui packet logging dan mode deteksi intrusi, serta dengan antarmuka BPF yang tersedia dari baris perintah. Misalnya, jika Kita hanya ingin melihat paket ICMP dari file log, hanya menentukan filter BPF pada baris perintah dan Snort hanya akan melihat paket ICMP dalam file:

	snort -dvr packet.log icmp		snort -dvr packet.log icmp
Line 38:		Line 52:
	Untuk informasi lebih lanjut bagaimana cara menggunakan interface BPF, ada baiknya membaca manual tcpdump dan snort.		Untuk informasi lebih lanjut bagaimana cara menggunakan interface BPF, ada baiknya membaca manual tcpdump dan snort.

			==Logging ASCII==

	~~==Logging~~ ASCII==		Bagi kita yang hanya ingin membaca rekaman traffic dengan mudah menggunakan format text ASCII dapat menggunakan perintah berikut,

	snort -A console -c /etc/snort/snort.conf -l /var/log/snort/ -K ascii		snort -A console -c /etc/snort/snort.conf -l /var/log/snort/ -K ascii

			Jika dibuang -A console, maka hasil rekaman tidak akan di tampilkan di layar / console. Perintah yang digunakan adalah,

			snort -c /etc/snort/snort.conf -l /var/log/snort/ -K ascii

	==Pranala Menarik==		==Pranala Menarik==

	* http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html		* http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html

Onnowpurbo at 02:18, 31 March 2017

2017-03-31T02:18:33Z

← Older revision		Revision as of 02:18, 31 March 2017
Line 1:		Line 1:
	~~SUmber~~: http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html		Sumber: http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html

	~~Jika kita ingin~~ merekam paket ~~ke disk~~, ~~kita perlu~~ memberitahukan ~~directory untuk~~ menyimpan ~~paket, maka snort akan langsugn switch ke packet logger mode,~~		Packet logger mode pada dasarnya merekam traffic yang di terima.

			==Folder Log Paket==

			Switch ke paket log mode, dan memberitahukan folder menyimpan log

	snort -dev -l ./log		snort -dev -l ./log
Line 33:		Line 37:

	Untuk informasi lebih lanjut bagaimana cara menggunakan interface BPF, ada baiknya membaca manual tcpdump dan snort.		Untuk informasi lebih lanjut bagaimana cara menggunakan interface BPF, ada baiknya membaca manual tcpdump dan snort.


			==Logging ASCII==

			snort -A console -c /etc/snort/snort.conf -l /var/log/snort/ -K ascii

Onnowpurbo at 20:08, 15 March 2017

2017-03-15T20:08:13Z

← Older revision		Revision as of 20:08, 15 March 2017
Line 28:		Line 28:
	snort -dv -r packet.log		snort -dv -r packet.log

	~~You can manipulate the~~ data ~~in the~~ file ~~in a number of ways through Snort's~~ packet logging ~~and intrusion detection modes~~, ~~as well as with the~~ BPF ~~interface that's available from the command line~~. ~~For example~~, ~~if you only wanted to see the~~ ICMP ~~packets from the~~ log ~~file~~, ~~simply specify a~~ BPF ~~filter at the command line and~~ Snort ~~will only see the~~ ICMP ~~packets in the~~ file:		Anda dapat memanipulasi data di file dengan sejumlah cara melalui packet logging dan mode deteksi intrusi, serta dengan antarmuka BPF yang tersedia dari baris perintah. Misalnya, jika Anda hanya ingin melihat paket ICMP dari file log, hanya menentukan filter BPF pada baris perintah dan Snort hanya akan melihat paket ICMP dalam file:

	./snort -dvr packet.log icmp		snort -dvr packet.log icmp

	~~For more info on how to use the BPF interface, read the Snort and tcpdump man pages.~~

			Untuk informasi lebih lanjut bagaimana cara menggunakan interface BPF, ada baiknya membaca manual tcpdump dan snort.

Onnowpurbo at 20:05, 15 March 2017

2017-03-15T20:05:35Z

← Older revision		Revision as of 20:05, 15 March 2017
Line 22:		Line 22:
	snort -l /var/log/snort -b		snort -l /var/log/snort -b

	~~Note the command line changes here~~. ~~We don't need to specify a home network any longer because binary~~ mode ~~logs everything into a single~~ file, ~~which eliminates the need to tell it how to~~ format ~~the~~ output ~~directory structure~~. ~~Additionally~~, ~~you don't need to run in~~ verbose ~~mode or specify the~~ -d or -e ~~switches because in binary~~ mode ~~the entire packet is logged~~, ~~not just sections of it~~. ~~All you really need to do to place~~ Snort ~~into~~ logger ~~mode is to specify a~~ logging ~~directory at the command line using the~~ -l switch~~--the~~ -b ~~binary logging switch merely provides a modifier that tells~~ Snort to log ~~the packets in something other than the~~ default ~~output format of plain~~ ASCII ~~text~~.		Perhatikan baris perintah perubahan di sini. Kita tidak perlu menentukan jaringan rumah lagi karena mode biner menyimpan semua ke dalam satu file, yang menghilangkan kebutuhan untuk memberitahukan bagaimana format struktur direktori output. Selain itu, anda tidak perlu berjalan dalam mode verbose atau menentukan switch -d atau -e karena dalam mode biner seluruh paket di catat, bukan hanya sebagian. Yang benar-benar anda perlu lakukan untuk menempatkan Snort ke mode logger adalah untuk menentukan direktori logging pada baris perintah menggunakan switch -l sementara switch binary logging -b hanya memberitahu Snort untuk log paket dalam format output selain default teks ASCII biasa.

	~~Once the packets have been logged to the binary~~ file, ~~you can read the packets back out of the~~ file ~~with any~~ sniffer ~~that supports the~~ tcpdump ~~binary format~~ (~~such as~~ tcpdump or Ethereal). Snort ~~can also read the packets back by using the~~ -r ~~switch~~, ~~which puts it into~~ playback ~~mode~~. ~~Packets from any~~ tcpdump ~~formatted~~ file ~~can be processed through~~ Snort ~~in any of its run modes~~. ~~For example~~, ~~if you wanted to run a binary~~ log ~~file through~~ Snort in sniffer ~~mode to dump the packets to the screen~~, ~~you can try something like this~~:		Setelah paket telah dicatat ke file biner, anda dapat membaca paket kembali dari file dengan sniffer yang mendukung format biner tcpdump (seperti tcpdump atau Ethereal). Snort juga dapat membaca paket kembali dengan menggunakan switch -r, yang menempatkan ke mode playback. Paket dari setiap tcpdump diformat file yang dapat diproses melalui Snort dalam mode yang dijalankan. Misalnya, jika anda ingin menjalankan file log biner melalui Snort dalam mode sniffer untuk menampilkan paket ke layar, anda dapat mencoba sesuatu seperti ini:

	./snort -dv -r packet.log		snort -dv -r packet.log

	You can manipulate the data in the file in a number of ways through Snort's packet logging and intrusion detection modes, as well as with the BPF interface that's available from the command line. For example, if you only wanted to see the ICMP packets from the log file, simply specify a BPF filter at the command line and Snort will only see the ICMP packets in the file:		You can manipulate the data in the file in a number of ways through Snort's packet logging and intrusion detection modes, as well as with the BPF interface that's available from the command line. For example, if you only wanted to see the ICMP packets from the log file, simply specify a BPF filter at the command line and Snort will only see the ICMP packets in the file:

Onnowpurbo at 19:56, 15 March 2017

2017-03-15T19:56:10Z

← Older revision		Revision as of 19:56, 15 March 2017
Line 12:		Line 12:
	snort -dev -l /var/log/snort -h 192.168.0.0/24		snort -dev -l /var/log/snort -h 192.168.0.0/24

	~~This rule tells~~ Snort ~~that you want to print out the~~ data link ~~and~~ TCP/IP ~~headers as well as application~~ data ~~into the directory .~~/log, ~~and you want to~~ log ~~the packets relative to the~~ 192.168.1.0 ~~class C network~~. ~~All incoming packets will be recorded into subdirectories of the~~ log ~~directory~~, ~~with the directory names being based on the address of the~~ remote (non-192.168.1) ~~host~~.		Perintah ini memberitahu Snort bahwa anda ingin mencetak data link dan TCP/IP header serta data aplikasi ke dalam direktori /var/log/snort, dan anda ingin log paket relatif terhadap jaringan kelas C 192.168.1.0. Semua paket yang masuk akan disimpan ke subdirektori dari direktori log, dengan nama direktori yang berbasis pada alamat remote host (non-192.168.1).

	~~Note~~:		Catatan:

	~~Note that if both the source and destination hosts are on the home network~~, ~~they are logged to a directory with a name based on the higher of the two~~ port ~~numbers or~~, ~~in the case of a tie~~, ~~the source address~~.		Perhatikan bahwa jika kedua sumber dan tujuan host di jaringan lokal yang sama, mereka akan di catat ke direktori dengan nama berdasarkan nomor port yang lebih tinggi lebih dulu, jika sama, maka digunakan alamat sumber.

	~~If you're on a high speed network or you want to~~ log ~~the packets into a more compact form for later analysis~~, ~~you should consider~~ logging ~~in binary~~ mode. ~~Binary~~ mode ~~logs the packets in~~ tcpdump ~~format to a single binary~~ file ~~in the~~ logging ~~directory~~:		Jika anda berada di jaringan kecepatan tinggi atau Anda ingin log paket ke bentuk yang lebih kompak untuk analisis nanti, anda harus mempertimbangkan logging dalam mode biner. Log paket dalam mode biner dalam format tcpdump ke file biner tunggal dalam direktori logging:

	./snort -l ./log -b		snort -l /var/log/snort -b

	Note the command line changes here. We don't need to specify a home network any longer because binary mode logs everything into a single file, which eliminates the need to tell it how to format the output directory structure. Additionally, you don't need to run in verbose mode or specify the -d or -e switches because in binary mode the entire packet is logged, not just sections of it. All you really need to do to place Snort into logger mode is to specify a logging directory at the command line using the -l switch--the -b binary logging switch merely provides a modifier that tells Snort to log the packets in something other than the default output format of plain ASCII text.		Note the command line changes here. We don't need to specify a home network any longer because binary mode logs everything into a single file, which eliminates the need to tell it how to format the output directory structure. Additionally, you don't need to run in verbose mode or specify the -d or -e switches because in binary mode the entire packet is logged, not just sections of it. All you really need to do to place Snort into logger mode is to specify a logging directory at the command line using the -l switch--the -b binary logging switch merely provides a modifier that tells Snort to log the packets in something other than the default output format of plain ASCII text.

Onnowpurbo at 19:50, 15 March 2017

2017-03-15T19:50:21Z

← Older revision		Revision as of 19:50, 15 March 2017
Line 8:		Line 8:
	Ketika Snort berjalan dalam mode ini, ia mengumpulkan setiap paket yang dilihatnya dan menempatkannya dalam hirarki direktori berdasarkan alamat IP dari salah satu host di datagram		Ketika Snort berjalan dalam mode ini, ia mengumpulkan setiap paket yang dilihatnya dan menempatkannya dalam hirarki direktori berdasarkan alamat IP dari salah satu host di datagram

	~~If you just specify a plain~~ -l ~~switch~~, ~~you may notice that Snort sometimes uses the address of the~~ remote ~~computer as the~~ directory ~~in which it places packets and sometimes it uses the local~~ host ~~address~~. ~~In order to~~ log ~~relative to the home network~~, ~~you need to tell Snort which network is the~~ home network:		Jika anda hanya menggunakan switch -l saja, akan melihat snort kadang kala menggunakan alamat remote komputer sebagai directory di mana ia menempatkan paket dan kadang-kadang menggunakan alamat host lokal. Agar menyimpan log relatif ke jaringan lokal, anda perlu memberitahukan snort mana yang home network / jaringan lokal:

	./snort -dev -l ./log -h 192.168.1.0/24		snort -dev -l /var/log/snort -h 192.168.0.0/24

	This rule tells Snort that you want to print out the data link and TCP/IP headers as well as application data into the directory ./log, and you want to log the packets relative to the 192.168.1.0 class C network. All incoming packets will be recorded into subdirectories of the log directory, with the directory names being based on the address of the remote (non-192.168.1) host.		This rule tells Snort that you want to print out the data link and TCP/IP headers as well as application data into the directory ./log, and you want to log the packets relative to the 192.168.1.0 class C network. All incoming packets will be recorded into subdirectories of the log directory, with the directory names being based on the address of the remote (non-192.168.1) host.

Onnowpurbo at 19:46, 15 March 2017

2017-03-15T19:46:54Z

← Older revision		Revision as of 19:46, 15 March 2017
Line 1:		Line 1:
	SUmber: http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html		SUmber: http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html

			Jika kita ingin merekam paket ke disk, kita perlu memberitahukan directory untuk menyimpan paket, maka snort akan langsugn switch ke packet logger mode,

	1.~~3 Packet Logger Mode~~		snort -dev -l ./log
			snort -dev -l /var/log/snort

	~~OK, all of these commands are pretty cool, but if you want to record the packets to the disk, you need to specify a logging directory and Snort will automatically know to go into packet logger mode:~~		Ketika Snort berjalan dalam mode ini, ia mengumpulkan setiap paket yang dilihatnya dan menempatkannya dalam hirarki direktori berdasarkan alamat IP dari salah satu host di datagram

	~~./snort -dev -l ./log~~

	~~Of course, this assumes you have a directory named log in the current directory. If you don't, Snort will exit with an error message. When~~ Snort ~~runs in this~~ mode, ~~it collects every packet it sees and places it in a directory hierarchy based upon the~~ IP ~~address of one of the hosts in the~~ datagram.

	If you just specify a plain -l switch, you may notice that Snort sometimes uses the address of the remote computer as the directory in which it places packets and sometimes it uses the local host address. In order to log relative to the home network, you need to tell Snort which network is the home network:		If you just specify a plain -l switch, you may notice that Snort sometimes uses the address of the remote computer as the directory in which it places packets and sometimes it uses the local host address. In order to log relative to the home network, you need to tell Snort which network is the home network:

Onnowpurbo: Created page with "SUmber: http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html 1.3 Packet Logger Mode OK, all of these commands are pretty cool, but if you want to record t..."

2017-03-15T02:58:05Z

Created page with "SUmber: http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html 1.3 Packet Logger Mode OK, all of these commands are pretty cool, but if you want to record t..."

New page

SUmber: http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html

1.3 Packet Logger Mode

OK, all of these commands are pretty cool, but if you want to record the packets to the disk, you need to specify a logging directory and Snort will automatically know to go into packet logger mode:

./snort -dev -l ./log

Of course, this assumes you have a directory named log in the current directory. If you don't, Snort will exit with an error message. When Snort runs in this mode, it collects every packet it sees and places it in a directory hierarchy based upon the IP address of one of the hosts in the datagram.

If you just specify a plain -l switch, you may notice that Snort sometimes uses the address of the remote computer as the directory in which it places packets and sometimes it uses the local host address. In order to log relative to the home network, you need to tell Snort which network is the home network:

./snort -dev -l ./log -h 192.168.1.0/24

This rule tells Snort that you want to print out the data link and TCP/IP headers as well as application data into the directory ./log, and you want to log the packets relative to the 192.168.1.0 class C network. All incoming packets will be recorded into subdirectories of the log directory, with the directory names being based on the address of the remote (non-192.168.1) host.

Note:

Note that if both the source and destination hosts are on the home network, they are logged to a directory with a name based on the higher of the two port numbers or, in the case of a tie, the source address.

If you're on a high speed network or you want to log the packets into a more compact form for later analysis, you should consider logging in binary mode. Binary mode logs the packets in tcpdump format to a single binary file in the logging directory:

./snort -l ./log -b

Note the command line changes here. We don't need to specify a home network any longer because binary mode logs everything into a single file, which eliminates the need to tell it how to format the output directory structure. Additionally, you don't need to run in verbose mode or specify the -d or -e switches because in binary mode the entire packet is logged, not just sections of it. All you really need to do to place Snort into logger mode is to specify a logging directory at the command line using the -l switch--the -b binary logging switch merely provides a modifier that tells Snort to log the packets in something other than the default output format of plain ASCII text.

Once the packets have been logged to the binary file, you can read the packets back out of the file with any sniffer that supports the tcpdump binary format (such as tcpdump or Ethereal). Snort can also read the packets back by using the -r switch, which puts it into playback mode. Packets from any tcpdump formatted file can be processed through Snort in any of its run modes. For example, if you wanted to run a binary log file through Snort in sniffer mode to dump the packets to the screen, you can try something like this:

./snort -dv -r packet.log

You can manipulate the data in the file in a number of ways through Snort's packet logging and intrusion detection modes, as well as with the BPF interface that's available from the command line. For example, if you only wanted to see the ICMP packets from the log file, simply specify a BPF filter at the command line and Snort will only see the ICMP packets in the file:

./snort -dvr packet.log icmp

For more info on how to use the BPF interface, read the Snort and tcpdump man pages.

==Pranala Menarik==

* http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node5.html