Suricata通过barnyard2将告警事件存入mysql

barnyard2的输入可以为bro,snort,suricata的告警文件，输出可以为文件，sguil，database
这里以suricata+barnyard2为例,输出文件格式必须为unified2格式

一.修改suricata的配置文件suricata.yaml，修正输出格式

outputs:
  - fast:
    enabled: yes
    filename: fast.log
    append: yes
  - unified2-alert:
    enabled: yes      
    filename: unified2.alert

二.安装barnyard2
tar -zxvf barnyard2-1.9.tar.gz
./configure --with-mysql --with-mysql-libraries=/usr/lib64/mysql/
make
make install

三.配置文件
/usr/local/etc/barnyard2.conf

四.修改配置文件
config reference_file:/usr/local/etc/suricata/reference.config
Config classification_file:/usr/local/share/suricata/rules/classification.config
#config gen_file: /usr/local/share/suricata/rules/gen-msg.map
config sid_file: /usr/local/share/suricata/rules/sid-msg.map
在末尾添加
output database: log, mysql, user=root password=root dbname=Suricata host=localhost

五.创建数据库，创建数据库表,脚本位置
barnyard2-1.9\schemas\create_mysql

六.运行:
/usr/local/bin/barnyard2 -c /usr/local/etc/barnyard2.conf -d /usr/local/var/log/suricata -f unified2.alert -w /usr/local/var/log/suricata/suricata.waldo

大功告成