Suricata IDS — мрежов детектор

Сигнали на Suricata без ELK стек

Suricata записва находките си в eve.json, по един JSON обект на събитие, а обичайният съвет е всичко това да се изпрати в Elasticsearch и да се гледа през Kibana. На клъстер това е разумно. На един-единствен VPS означава да поддържате търсеща машина, събирач на журнали и сървър с табла — няколко гигабайта памет и втора система за поддръжка — само за да четете сигнали от същата машина, на която вече са били записани.

Тази страница чете eve.json направо, както и fast.log, когато точно него произвежда вашата компилация. Показва сигналите от последните двадесет и четири часа, групирани по категория, адресите, които пораждат най-много от тях, и отделните сигнатури с източник, цел, протокол и тежест.

Ако Suricata работи, но не съобщава нищо, причината почти винаги е в правилата, а не в трафика: свежа инсталация не съдържа нито една сигнатура, докато suricata-update не се изпълни поне веднъж. Другата изненада е тежестта. По-голямата част от онова, което открит сензор докладва, е сканиране с ниска тежест, от което никога нищо не излиза, затова четете категориите преди брояча.

Сензорът на кабела има граница, в която редовно се спъват: шифрованият трафик изглежда за него като поток от байтове. Ще каже, че от този адрес е дошла връзка към сайта ви, но няма да каже, че в заявката е имало опит за SQL инжекция. Това го чете ModSecurity, вътре в уеб сървъра, след разшифроването. Двете не се заменят: единият гледа мрежата отвън, другият заявката отвътре.