我已经为此工作太久了。我敢肯定答案应该很明显，但是...
Snort 手册： http : //www.snort.org/assets/125/snort_manual-2_8_5_1.pdf 在第 39 页（根据 Acrobat Reader 为第 40 页）列出了两个日志输出：“统一输出”和“日志文件输出”，其中我猜前者指的是“统一”输出模式......这让我认为答案是“不，snort 无法将检测到的端口扫描的警报输出到 syslog。”
我一直在使用的配置文件是：
alert tcp any 80 -> any any (msg:"TestTestTest"; content: "testtesttest"; sid:123) preprocessor sfportscan: proto { all } \
memcap { 10000000 } \
scan_type { all } \
sense_level { high } \
logfile { pscan.log }
（是的，我知道非常基本）。
一个简单的 nmap 触发输出到 pscan.log
谁能证实这一点？或者指出我是怎么做到的？
Snort 有许多输出选项。这在历史上已经包含了 syslog，但即使它目前没有，您也可以使用 barnyard 输出到 syslog（我假设 barnyard2 也可以，但我还没有测试过）。
编辑
我想我理解你的困惑。该手册的第 96 页详细介绍了（警报）日志记录到 syslog，但是您所指的日志记录是用于记录数据包，而不是警报。
所以是的，您可以将警报写入 syslog，但不能将数据包记录到 syslog。