Suricata IDS — كاشف الشبكة

تنبيهات Suricata بلا حزمة ELK

تكتب Suricata ما تجده في eve.json، كائن JSON واحد لكل حدث، والنصيحة المعتادة أن تُرسَل كلها إلى Elasticsearch وتُقرأ عبر Kibana. على عنقود يبدو ذلك معقولاً. أما على VPS واحد فيعني تشغيل محرك بحث وناقل سجلات وخادم لوحات — عدة غيغابايت من الذاكرة ونظام ثانٍ يحتاج صيانة — لمجرد قراءة تنبيهات من الجهاز نفسه الذي كُتبت عليه أصلاً.

تقرأ هذه الصفحة eve.json مباشرة، وكذلك fast.log حين تكون تلك هي مخرجات نسختك. تعرض تنبيهات الأربع والعشرين ساعة الأخيرة مجمّعة حسب الفئة، والعناوين التي تولّد أكثرها، والتواقيع المفردة مع المصدر والوجهة والبروتوكول ودرجة الخطورة.

إن كانت Suricata تعمل ولا تبلّغ عن شيء، فالسبب يكاد يكون دائماً في القواعد لا في الحركة: التثبيت الجديد لا يحمل أي توقيع حتى يعمل suricata-update مرة واحدة على الأقل. والمفاجأة الأخرى هي درجة الخطورة. معظم ما يبلّغ عنه مستشعر مكشوف مسحٌ منخفض الخطورة لا يفضي إلى شيء أبداً، فاقرأ الفئات قبل العدّاد.

للمستشعر الموضوع على الخط حدّ يتعثر فيه الناس كثيراً: فالحركة المشفّرة تبدو له تدفقاً من البايتات. سيقول إن اتصالاً بموقعك جاء من هذا العنوان، لكنه لن يقول إن الطلب حمل محاولة حقن SQL. ذلك يقرؤه ModSecurity، داخل خادم الويب، بعد فك التشفير. والاثنان لا يحل أحدهما محل الآخر: هذا ينظر إلى الشبكة من الخارج، وذاك إلى الطلب من الداخل.