怎么保存动态pcap文件 about demo

[Green-m]

snort.conf 是自定义的配置文件，里面定义了保存目录的路径，如 /pcap/192.168.1.2/ 和 /pcap/192.168.1.3/ ，读取到 dir_pcap_list 这个列表变量里，然后再读取对应的pcap文件。

这个只是用来配置一下最初的读取目录，存取也是分目录进行的。
@ellenzhu 还有其他不明白的欢迎继续讨论。

[ellenzhu]

@Green-m 谢谢，已经能跑起来了。
我们的业务场景是这样的，每台机器平均每分钟有2G的流量，有3台机器A,B,C。如果想提高性能是不是分别在A,B,C都装上snort和barnyard然后把数据传入统一的库里通过snorby展示出来,这样会比把报文全部传到A机器上效率要高吧。

[Green-m]

@ellenzhu 是的，这样组成集群是更好的模式，我之前的业务也是这样的，有多台服务器节点运行snort。 而为了对流量统一备份以及进行其他处理，最后一步才统一到一台机器。

snorby 这个东西没有更新了，有不少bug，特别是日志条数到一定地步就不自动刷新显示了。
另外似乎现在后端流行集成到elk里，不过这个我没有实践过，就不多给你建议了。

[ellenzhu]

@Green-m 我现在就发现不自动刷新了，都需要手动更新显示【捂脸】，那我看看ELK吧，之前用过。你们现在不用snorby了吗

[Green-m]

现在没做这一块儿了哈，了解得也落后了。

[ellenzhu]

谢谢，提供了思路