上一篇文章中介紹在高速網路的環境下如何使用Open vSwitch產生sFlow流量，並透過Snort完成自動檢查流量機制，藉以找出可疑的流量。本期文章將繼續介紹如何安裝、設定及使用強大的Snort前台程式「Snorby」，以達到人性化管理的目的。
3的部分是Event Export Options，在此可以選擇要以XML的方式輸出，或以E-mail的方式寄出。寄出時，可選擇要寄送給先前設定好的使用者，或自行填入E-mail，收到的mail所顯示的資訊與此圖提供的相當類似，因此不再贅述。
4的部分是Permalink，Permalink是Permanent Link的意思，用途是建立一個永久的Link。
5的部分是用以方便管理者查詢來源或目的IP的Whois資訊，可以查出所屬的國籍或ISP。此外，也提供Snorby Search By的功能，以利找出相同的IP。
6的部分能找出所有相同事件的記錄，以此例而言，會找出所有SNMP request udp的記錄。
7的部分是Query Signature Database，點選後會連到「http://rootedyour.com」網頁，讓使用者可以查出這個Sid（Signature id）的相關說明。
8的部分是View Rule，用以查看目前針對此事件所訂定的rule。
9是針對Payload的部分，讓使用者選擇以16進位碼或是文字的方式查看。
10的部分是Add A Note To This Event，讓管理者針對此事件做一個註記或說明。
Sensors設定說明
Snorby可以同時處理多個Sensor的資料。以這裡的例子來說，在Snort將資料倒進Snorby的資料庫後，可以點選面板上的Sensors欄位，這樣一來，就可以看出目前有哪些Sensor是Snorby正在監控中，如圖6所示。
 |
| ▲圖6 Snorby監看的Sensors。 |
在操作過程中，由於是以檔案轉向的方式輸出至Snorby，因此Hostname及Interface的部分都有reading from a file的說明。
在Name部分，有Click To Change Me欄位可以點選。點選之後，可以自行設定Sensor的名稱。以此例而言，將之設定為「Snort」。
如此一來，在主畫面的部分，就可以看到原先的Click To Change Me已經改變為Snort（藍色線），如圖7所示。
也可以點選圖7右上角Click To Change Me的紅色標示，讓不需要的圖形暫時消失。在Sensors旁邊還有〔Seventies〕、〔Protocols〕、〔Signatures〕、〔Sources〕、〔Destinations〕等活頁標籤可以點選，管理者可自行查看相關的資訊。
 |
| ▲圖7 Snorby的圖表功能。 |
Dashboard可依時段查看功能說明
在Dashboard方面，除了預設的24 Hours外，也可以點選LAST 24、TODAY、YESTERDAY、LAST WEEK、THIS MONTH、THIS QUARTER、THIS YEAR的時間區段，如圖8所示，讓管理者輕鬆查看歷史紀錄，以觀察資安事件是否有在特定時段發生的趨勢。
 |
| ▲圖8 Snorby的時間區段。 |
Search功能介紹
Search功能部分，可以針對Signature、Source Address、Destination Address、Timestamp、Source Port、Destination Port、Sensor、分類的類別（Classification）以及事件的等級（seventy）等做搜尋，以便在事件眾多時迅速找到管理者需要的事件，其介面如圖9所示。
 |
| ▲圖9 Snorby的搜尋介面。 |
報表功能說明
介面的部分大致介紹完成，讀者不妨自行操作一下，相信很快就會熟練。最後介紹報表的部分，如圖10所示。
先點選Administration選單，再點選General Settings連結，就可以帶出報表的設定介面。
此處的設定非常簡單，只要輸入公司名稱、收件者的E-mail，還有Signature的查詢頁面（使用預設值）即可。
右邊的部分是用來設定寄送報表的週期，可以選擇每日、每週及每月，以及是否要做IP的反查、是否輸出針對該事件的說明、是否查詢IP所在的國家或地區。而每日報表會在每天00:00時寄出。
 |
| ▲圖10 Snorby的報表功能。 |
除了例行性的報表外，也可以手動匯出報表。在主功能畫面中先選擇需要的時段，例如Yesterday，再選擇右上角的More Options，就會有Last Week、Last Month、Export To PDF等功能可選。