Suricata IDS — hálózati érzékelő

Suricata-riasztások ELK-verem nélkül

A Suricata a megállapításait az eve.json fájlba írja, eseményenként egy JSON-objektumot, és a szokásos tanács szerint mindezt az Elasticsearchbe kell küldeni, és Kibanán át nézni. Egy klaszteren ez ésszerű. Egyetlen VPS-en azt jelenti, hogy futtatnia kell egy keresőmotort, egy naplógyűjtőt és egy irányítópult-szervert — több gigabájt memória és egy második karbantartandó rendszer — csak azért, hogy ugyanarról a gépről olvashasson riasztásokat, amelyre már fel is íródtak.

Ez az oldal közvetlenül olvassa az eve.json fájlt, valamint a fast.log fájlt, ha az Ön összeállítása azt állítja elő. Kategória szerint csoportosítva mutatja az elmúlt huszonnégy óra riasztásait, a legtöbbet okozó címeket és az egyes szignatúrákat forrással, céllal, protokollal és súlyossággal.

Ha a Suricata fut, de semmit sem jelent, az ok szinte mindig a szabályokban van, nem a forgalomban: egy friss telepítés egyetlen szignatúrát sem tartalmaz, amíg a suricata-update le nem futott legalább egyszer. A másik meglepetés a súlyosság. Amit egy kitett érzékelő jelent, annak nagy része alacsony súlyosságú szkennelés, amelyből soha nem lesz semmi, ezért a kategóriákat olvassa előbb, a számlálót utána.

A vezetéken ülő érzékelőnek van egy határa, amiben rendre megbotlanak: a titkosított forgalmat bájtfolyamként látja. Megmondja, hogy erről a címről érkezett kapcsolat az oldalára, de azt nem, hogy a kérésben SQL-befecskendezési kísérlet volt. Azt már a ModSecurity olvassa, a webkiszolgálón belül, a visszafejtés után. A kettő nem helyettesíti egymást: az egyik kívülről nézi a hálózatot, a másik belülről a kérést.