Mensajes de alerta snort a varios usuarios

Buenas tardes compañeras y compañeros del foro, como puedo hacer para que el snort no solo envie los mensajes de alerta al root si no tambien me lleguen a mi correo
Yo se que en la quinta linea es donde se indica a que usuario le va a llegar los mensajes de alerta en este caso root pero que debo hacer para agregar mi cuenta de correo para
tambien a mi o a otros nos lleguen dichos mensajes

# This file is used for options that are changed by Debian to leave
# the original lib files untouched.
# You have to use "dpkg-reconfigure snort" to change them.

DEBIAN_SNORT_STARTUP="boot"
DEBIAN_SNORT_HOME_NET="10.37.0.0/16"
DEBIAN_SNORT_OPTIONS=""
DEBIAN_SNORT_INTERFACE="eth0"
DEBIAN_SNORT_STATS_RCPT="root"
DEBIAN_SNORT_STATS_THRESHOLD="1"

Gracias por la ayuda!!!

Deny dijo:

Hola al foro, soy nueva aqui, porfavor me gustaria saber como enviar mis alertas del snort a mi correo, porfavor, es urgente gracias por su ayuda!!!!

Haz clic para expandir...

Antes que nada quiero decirte que esta alternativa esta realizada en una distribución debian sarge. Por cualquier cosa.

Lo primero que tienes que hacer es estando en la linea de comandos del shell linux (terminal) ejecutas el comando siguiente

df -lh

Con este comando vas a ver donde esta la partición root y var y var/log
vjimeneza@KRONOS:~$ df -lh

Filesystem Size Used Avail Use% Mounted on
/dev/hda6 2.4G 172M 2.2G 8% /
/dev/hda1 189M 52M 137M 28% /boot
/dev/hda7 3.8G 35M 3.7G 1% /home
/dev/hda8 3.8G 328M 3.5G 9% /usr
/dev/hda9 6.9G 809M 6.1G 12% /var
/dev/hda10 19G 3.0G 16G 17% /var/log


En mi caso esta en la partición hda6 la root y la var en hda9

luego ingresas a la carpeta de root
# cd /root

y verificas que tengas un directorio llamado scripts si no lo creas

# cd mkdir scripts

luego ingresas en el subdirectorio

cd scripts/
creas un archivo rootinfodisk.sh y agregas lo siguiente obviamente cambias tu partición root que desplegastes anteriormente y el nombre del servidor y la dirección ip por el de tu servidor al igual que cambias la direccion de email por la tuya

VALUE=`df /dev/hda6 | awk '{print $5}' |grep -v "Use%" | cut -f1 -d%`
echo $VALUE

if [ "$VALUE" -gt "85" ]
then
`date | mail -s "IDS-NIC 10.36.155.117: ROOT filesystem is at $VALUE%" vicskorpio@gmail.com,otradirecciondeemail@gmail.com`
echo "ROOT filesystem is at $VALUE%"
fi

luego salvas el archivo y le cambias los permisos con el comando
chmod 755 rootinfodisk.sh

ahora creamos otro archivo varinfodisk.sh y agregamos lo siguiente
nuevamente te recuerdo cambiar los valores respectivos el nombre de tu servidor y la direccion ip al igual que tu direccion de correo

VALUE=`df /dev/hda9 | awk '{print $5}' |grep -v "Use%" | cut -f1 -d%`
echo $VALUE

if [ "$VALUE" -gt "85" ]
then
`date | mail -s "IDS-CR 10.36.155.117: /var/ filesystem is at $VALUE%" vicskorpio@gmail.com,otroemail@gmail.com`
echo "/var/ filesystem is at $VALUE%"
fi

lo guardas
luego le cambiamos los permisos con el comando
chmod 755 varinfodisk.sh

y por último con el archivo VarLoginfodisk.sh cambiando los valores respectivos

VALUE=`df /dev/hda10 | awk '{print $5}' |grep -v "Use%" | cut -f1 -d%`
echo $VALUE

if [ "$VALUE" -gt "85" ]
then
`date | mail -s "IDS-CR 10.36.155.117: /var/log filesystem is at $VALUE%" vicskorpio@gmail.com,otroemailcualquiera@gmail.com`
echo "/var/log filesystem is at $VALUE%"
fi

lo guardas
luego le cambiamos los permisos con el comando
chmod 755 VarLoginfodisk.sh

Ahora para finalizar vamos a programar las horas para que nos lleguen los correos

ingresamos en la carpeta /etc

y editamos el archivo crontab y agregamos lo siguiente

SHELL=/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin

# m h dom mon dow user command
17 * * * * root run-parts --report /etc/cron.hourly
25 6 * * * root test -x /usr/sbin/anacron || run-parts --report /etc/cron.daily
47 6 * * 7 root test -x /usr/sbin/anacron || run-parts --report /etc/cron.weekly
52 6 1 * * root test -x /usr/sbin/anacron || run-parts --report /etc/cron.monthly

y listo si no sabes como funciona el formato del crontab hay mucha informacion en internet para darte una idea esta configurado para que a las 6 25 de la mañana de todos los dias me envie el correspondiente reporte
25 6 * * *

Espero y te sirva

verifica que tengas instalado un mta (mail transfer agent) en mi caso utilizo el postfix si no tienes lo instalas si no como te van a llegar los correos