Question

我目前正在尝试使用Raspberry Pi。我正在运行Snort，这是一种数据包检测软件。在Snort引发警报的情况下，我想要执行（Python）脚本。

Snort在Rasberry上执行，如下所示：

sudo snort -q -A console -i eth0 -c /etc/snort/snort.conf

我创建了一个python脚本，在调用时，控制一个覆盆子pi的GPIO引脚。使其更具有背景;当树莓派收到ping / ICMP包时，红色警报灯被同一设备点亮和控制。

snort规则当前有效，当ICMP数据包到达时，警报会输出到控制台。但是我不知道如何让snort执行python脚本

Answer 1

您可以将警报记录到文件中，然后实现this之类的操作，但您只需调用python脚本而不是notify-send。

snort中的实验性内容很难弄清楚，因为当出现问题时，没有很多支持它们。

Answer 2

以下是3个选项，希望其中一个可以使用：

＆＃34;严格＆＃34; subprocess方法使用子流程PIPE s
使用pexpect的方法 - ＆＃34; Pexpect是一个纯Python模块，用于生成子应用程序;控制他们;并对其产出中的预期模式做出回应。＆＃34; - 这不是你必须从默认的python安装中单独获取的唯一非标准包。
使用伪终端和古老的select来读取文件描述符的方法

每种方法都捆绑在try_[SOME APPROACH]函数中。您应该能够更新顶部的3个参数，然后在底部注释/取消注释一个方法，以便给它一个镜头。

独立测试两半可能是值得的。换句话说，snort + my rpi.py（下面）。然后，如果有效，我的timed_printer.py（下面）和你的python脚本切换RPi GPIO。如果它们都独立工作，那么您可以确信不需要做太多工作就可以使整个工作流程正常运行。

<强>代码

import subprocess

_cmd_lst = ['python', '-u', 'timed_printer.py']  # sudo snort -q -A console -i eth0 -c /etc/snort/snort.conf
_rpi_lst = ['python', '-u', 'rpi.py']            # python script that toggles RPi
_alert = 'TIME'                                  # The keyword you're looking for
                                                 #  in snort output

#===============================================================================

# Simple helper function that calls the RPi toggle script
def toggle_rpi():
    subprocess.call(_rpi_lst)



def try_subprocess(cmd_lst, alert, rpi_lst):
    p = subprocess.Popen(' '.join(cmd_lst), shell=True, stdout=subprocess.PIPE, bufsize=1)

    try:
        while True:
            for line in iter(p.stdout.readline, b''):
                print("try_subprocess() read: %s" % line.strip())

                if alert in line:
                    print("try_subprocess() found alert: %s" % alert)
                    toggle_rpi()

    except KeyboardInterrupt:   print(" Caught Ctrl+C -- killing subprocess...")
    except Exception as ex:     print ex
    finally:
        print("Cleaning up...")
        p.kill()
        print("Goodbye.")



def try_pexpect(cmd_lst, alert, rpi_lst):
    import pexpect # http://pexpect.sourceforge.net/pexpect.html

    p = pexpect.spawn(' '.join(cmd_lst))

    try:
        while True:
            p.expect(alert)     # This blocks until <alert> is found in the output of cmd_str
            print("try_pexpect() found alert: %s" % alert)
            toggle_rpi()

    except KeyboardInterrupt:   print(" Caught Ctrl+C -- killing subprocess...")
    except Exception as ex:     print ex
    finally:
        print("Cleaning up...")
        p.close(force=True)
        print("Goodbye.")



def try_pty(cmd_lst, alert, rpi_lst, MAX_READ=2048):
    import pty, os, select

    mfd, sfd = pty.openpty()

    p = subprocess.Popen(' '.join(cmd_lst), shell=True, stdout=sfd, bufsize=1)

    try:
        while True:
            rlist, _, _, = select.select([mfd], [], [])

            if rlist:
                data = os.read(mfd, MAX_READ)
                print("try_pty() read: %s" % data.strip())
                if not data:
                    print("try_pty() got EOF -- exiting")
                    break
                if alert in data:
                    print("try_pty() found alert: %s" % alert)
                    toggle_rpi()
            elif p.poll() is not None:
                print("try_pty() had subprocess end -- exiting")
                break

    except KeyboardInterrupt:   print(" Caught Ctrl+C -- killing subprocess...")
    except Exception as ex:     print ex
    finally:
        print("Cleaning up...")
        os.close(sfd)
        os.close(mfd)
        p.kill()
        print("Goodbye.")

#===============================================================================

try_subprocess(_cmd_lst, _alert, _rpi_lst)
#try_pexpect(_cmd_lst, _alert, _rpi_lst)
#try_pty(_cmd_lst, _alert, _rpi_lst)

测试笔记

要模拟你的snort脚本（＆＃34;挂起＆＃34;然后打印一些东西，然后再回到挂起等），我编写了这个简单的python脚本，我称之为timed_printer.py：< / p>

import time
while True:
    print("TIME: %s" % time.time())
    time.sleep(5)

我的rpi.py文件只是：

print("TOGGLING OUTPUT PIN")

这里没有明确的输出刷新，试图最好地模拟正常输出。

最后的注意事项

第一种方法一次读取整行。因此，如果您希望将alert包含在一行中，那么您就可以了。

第二种方法（pexpect）将阻止，直到遇到alert。

第三种方法将阅读as soon as data is available，我应该指出这不一定是一个完整的行。如果您看到try_pty() read:包含snort输出行的片段，导致您错过警报，则需要添加某种缓冲解决方案。

<强>文档

参考文献： 1，2

Answer 3

如果管道输出延迟接收警报，直到snort的stdout缓冲区被刷新：

#!/usr/bin/env python
from __future__ import print_function
from subprocess import Popen, PIPE, STDOUT

snort_process = Popen(['snort', '-A', 'console', '-c', 'snort.conf'],
                      stdout=PIPE, stderr=STDOUT, bufsize=1,
                      universal_newlines=True, close_fds=True)
with snort_process.stdout:
    for line in iter(snort_process.stdout.readline, ''):
        #XXX run python script here:
        #    subprocess.call([sys.executable or 'python', '-m', 'your_module'])
        print(line, end='')
rc = snort_process.wait()

然后你可以try a pseudo-tty to enable line-buffereing on snort's side。

或运行snort -A unsock命令并在使用Unix域套接字生成警报后立即打印每个警报：

#!/usr/bin/env python
import ctypes
import os
import socket
from subprocess import Popen
from snort import Alertpkt

# listen for alerts using unix domain sockets (UDS)
snort_log_dir = os.getcwd()
server_address = os.path.join(snort_log_dir, 'snort_alert')
sock = socket.socket(socket.AF_UNIX, socket.SOCK_DGRAM)
try:
    os.remove(server_address)
except OSError:
    pass
sock.bind(server_address)

# start snort process
snort_process = Popen(['snort', '-A', 'unsock', '-l', snort_log_dir,
                       '-c', 'snort.conf'], close_fds=True)
# receive alerts
alert = Alertpkt()
try:
    while 1:
        if sock.recv_into(alert) != ctypes.sizeof(alert):
            break # EOF
        #XXX run python script here `subprocess.call([sys.executable or 'python', '-m', 'your_module'])`
        print("{:03d} {}".format(alert.val, alert.data))
except KeyboardInterrupt:
    pass
finally:
    sock.close()
    os.remove(server_address)
    if snort_process.poll() is None: # the process is still running
        snort_process.kill()
        snort_process.wait() # wait for snort process to exit

在您的情况下，您可以在每个警报上运行脚本而不是打印。

snort.Alertpkt is a ctypes's defition of C struct Alertpkt

要试用它，您可以下载the gist that contains a dummy snort script in addition to all the python modules并运行run-script-on-alert-unsock.py（或run-script-on-alert-pty.py）。

在Snort警报上执行脚本

3 个答案: