В DB Host следует указать имя или адрес сервера, на котором запущена БД, в которую следует вести логи. Аналогично заполняются и другие параметры. После заполнения необходимо нажать на save. После того как будет создан хотя бы один output plugin, его можно будет выбрать и активировать в «Sensor Config –> Output Plugin Selection». После того как все необходимые составляющие правил для нужного сенсора выбраны, можно создать и скинуть итоговый конфигурационный файл на выбранный сенсор. Для этого следует выбрать «Sensor Console –> View Sensors» и у нужного сенсора (пока он один) нажать push.

Рисунок 15. Скидывание конфигурационного файла на сенсор

После чего снизу на жёлтом фоне появится надпись, сообщающая об успешном сбросе файла конфигурации на его место.

Казалось бы, что на этом настройка должна быть закончена и достаточно нажать на start, чтобы всё заработало, но, к сожалению, это не так. Сейчас мы осуществим некоторые действия, догадка о выполнении которых была получена опытным путём. Если попытаться нажать start, то мы получим сообщение об ошибке, не дающее запустить snort на сенсоре:

ERROR: /etc/snort/snort.eth0.conf(24) => Invalid file name for IIS Unicode Map file.

Fatal Error, Quitting..

Из чего можно сделать предположение о том, что системе не хватает файла unicode.map (находится в файле с правилами). По идее этот файл не должен меняться так же часто, как правила, поэтому нет смысла править SnortCenter, чтобы он умел его скидывать вместе с файлом конфигурации. Проще его скинуть один раз руками в директорию /etc/snort. Чтобы в дальнейшем не возникало подобных ошибок, лучше всего вместе с unicode.map скинуть и другие *.map-файлы, а именно для текущей версии это sid-msg.map и gen-msg.map.

Далее следует подправить строчки 140-142 в файле parser.php. Вместо

elseif ($what == "byte_test") {

    if ($rule['byte_test']) $rule['byte_test'][$content_nr] .= "; byte_test: $val";

    else $rule['byte_test'][$content_nr] = $val;

следует написать:

elseif ($what == "byte_test") {

    $rule['byte_test'][$content_nr] = $val;

До того, как это было сделано, разборщик правил неверно разбирал правила, в результате чего дописывалось лишнее значение byte_test: и snort не хотел запускаться. Возможно, подобную операцию по корректированию в дальнейшем придётся сделать со строками 136-138, но пока в этом нет необходимости. Также при визуальном просмотре было замечено несколько опечаток: в строчках 166, 232, 250, 251 файла db_pars.php и строчке 307 файла rules.php, скорее всего, вместо Unknown-Catagory следует написать Unknown-Category.