Abrimos conexión con la base de datos
mysql -u root -p
En la base de datos de snort,
use snort;
Para ver el diagrama entidad relación de la base de datos:
Buscamos el identificador del evento que necesitamos:
select sig_id,sig_name from signature;
En mi caso, es
223 | COMMUNITY WEB-MISC mod_jrun overflow attempt
Seleccionamos los eventos de mi signature:
select * from event where signature = 223;
En la tabla de eventos, tenemos las alertas con origen y destino
SELECT timestamp, inet_ntoa(ip_dest), inet_ntoa(ip_src) FROM iphdr WHERE inet_ntoa(ip_src)="192.168.5.125";
Finalmente, hacemos el join entre ambas tablas, y ya podemos sacar el resultado a un fichero de texto:
select inet_ntoa(ip_src), inet_ntoa(ip_dst) from event,iphdr where iphdr.cid=event.cid and event.sid=iphdr.sid and event.signature = 223 and inet_ntoa(ip_dst)="195.23.2.123" GROUP BY ip_src ORDER BY ip_src INTO OUTFILE '/tmp/res.txt';
Sobre el acceso a snort a través de la base de datos, tienen un post estupendo en everything about nothing.