Snort_Alert als Notification anzeigen lassen

[Knittelfeld]

Hallo,

ich moechte bei XFCE Notification anzeigen lassen wenn snort ein Eintrag im log macht.
Kann mir jemand sagen wie ich das umsetzen kann?

Habe ein kleines Skript erstellt aber das funktioniert nicht, bekomme immer den Fehler "cannot fork".

#!/bin/sh

if [ -s "$(/var/log/alert)" ]
then
  notify-send 'Snort Alarm' 'Check Snort log' --icon=dialog-information
fi

Mfg

 

[peterle]

Wozu ist denn das $ da und was genau macht "-s"? Testet das nicht nur, ob die Datei Inhalt hat?

 

[turrican]

das was in $() steht wird als eigenes Kommando interpretiert; laß das $ und die () weg und setze stattdessen ""

if [ -s "/var/log/alert" ]

 

[Knittelfeld]

das was in $() steht wird als eigenes Kommando interpretiert; laß das $ und die () weg und setze stattdessen ""

if [ -s "/var/log/alert" ]

Das hat geklappt. Danke

 

[Knittelfeld]

Wozu ist denn das $ da und was genau macht "-s"? Testet das nicht nur, ob die Datei Inhalt hat?

Das $ war nonsens und ja das -s ueberprueft ob die Datei Inhalt hat.

 

[peterle]

Ich habe snort lange nicht benutzt, aber müllt der das Logfile nicht einfach zu?

 

[morromett]

... das -s ueberprueft ob die Datei Inhalt hat.

Du könntest die Datei auch mit inotifywait überwachen:

inotifywait -qq -e modify /var/log/alert

 

[Knittelfeld]

Du könntest die Datei auch mit inotifywait überwachen:

inotifywait -qq -e modify /var/log/alert

Werd ich mir Morgen mal testen.

Aber auf den ersten blick ist es genau das was ich gesucht habe. Danke

 

[mark05]

hi
du musst schon das snort logfile inhaltlich überwachen , ob alert inhalt hat wird nicht reichen ,
da die alerts continuierlich hinzugefügt werden .
also
z.b. im einfachsten fall snort logs via syslog schreiben , als syslog z.b. rsyslog verwenden oder einen
beliebig anderen syslog server der filter funktionen hat.

etsprechende filter funktion schreiben mit dem auslösen einer notification.

ich selber verwende das fuer ossec oder wazuh

Holger

 

[Knittelfeld]

hi
du musst schon das snort logfile inhaltlich überwachen , ob alert inhalt hat wird nicht reichen ,
da die alerts continuierlich hinzugefügt werden .
also
z.b. im einfachsten fall snort logs via syslog schreiben , als syslog z.b. rsyslog verwenden oder einen
beliebig anderen syslog server der filter funktionen hat.

etsprechende filter funktion schreiben mit dem auslösen einer notification.

ich selber verwende das fuer ossec oder wazuh

Holger

Danke fuer deine Antwort, werde mir syslog anschauen.