開発用サーバーのCentOS7.7にSnortv2.9.18.1をインストールして稼働させています。
ルールファイルはpulledporkを使い、snort.rulesファイルにまとめられています。
うまく起動してはいるのですが、alertログ(/var/log/snort/alert)に
11/03-11:00:28.423138 [**] [129:20:1] TCP session without 3-way handshake [**] [Classification: Potentially Bad Traffic] [Priority: 2] {TCP} 192.168.0.10:27017 -> 192.168.0.11:53068
このようなログが大量に出て困っています。
ちなみに、
192.168.0.10は別の開発サーバー。
192.168.0.11はSnortを動かしているサーバーです。
Snortが異常を検知して正しく動いている、と言えばそうなのですがあまりにもログが多く1日で100MB近くにもログが肥大化しています。
ローカルIP帯からのアクセスは無視するように設定を変更したいのですが、snort.rulesを確認してもどこでこのルールが設定されているのかも分からず質問いたしました。
snort.confでは
ipvar HOME_NET 192.168.0.0/28
ipvar EXTERNAL_NET !$HOME_NET
と設定しています。
知見のある方、なにかアドバイスを頂ければと思います。
よろしくお願いします。