9DOの日記： swatchで即mail送信

snortがnachiを見付けたら即mailが飛んで来るように設定。

swatch-3.0.8.tar.gzを使用。他にperlモジュールが必要(README)
perl Makefile.PL
make
make test
make install

examples配下のswatchrc.xxxを参考にrcファイルを作成。

今回はnachiだけ見たいので、
watchfor =/cyberkit/i
mail = [e-mail]

とした。(ほんとはnach用のsnortrules書かないといけないですね)

監視ファイルはsnortが作成するalert。
swatch -c swatchrc.nachi -t SNORTLOG/alert で起動

snortが落ちると意味がないのでdaemontoolsを使用して自動復帰
できるように設定。

これでnachiが発生してもすぐ対応できる、かな。


即mailを飛ばすことにより伝播速度の速い既知のワーム等に対して
効果がでると思われる。携帯電話のメールがベター。