Suricata IDS — detektor jaringan

Peringatan Suricata tanpa tumpukan ELK

Suricata menulis temuannya ke eve.json, satu objek JSON untuk setiap peristiwa, dan nasihat yang biasa terdengar adalah mengirim semua itu ke Elasticsearch lalu menatapnya lewat Kibana. Pada sebuah klaster hal itu masuk akal. Pada satu VPS tunggal artinya menghidupi sebuah mesin pencari, sebuah pengumpul log dan sebuah peladen dasbor — beberapa gigabita memori dan sistem kedua yang harus dirawat — hanya untuk membaca peringatan dari mesin yang sama tempat peringatan itu sudah tertulis.

Halaman ini membaca eve.json secara langsung, begitu pula fast.log bila itulah yang dihasilkan bentukan Anda. Ia menampilkan peringatan dua puluh empat jam terakhir yang dikelompokkan menurut kategori, alamat yang paling banyak menimbulkannya, serta tanda tangan satu per satu lengkap dengan sumber, tujuan, protokol dan tingkat keparahan.

Kalau Suricata berjalan tetapi tidak melaporkan apa-apa, penyebabnya hampir selalu ada pada aturan, bukan pada lalu lintas: pemasangan yang baru tidak memuat satu tanda tangan pun sampai suricata-update berjalan setidaknya sekali. Kejutan yang lain adalah tingkat keparahan. Sebagian besar yang dilaporkan sensor yang terbuka ke luar adalah pemindaian berkeparahan rendah yang tak pernah menjadi apa-apa, jadi bacalah kategorinya sebelum menatap pencacahnya.

Sensor di jalur punya batas yang kerap membuat orang tersandung: lalu lintas terenkripsi tampak baginya sebagai aliran bita. Ia akan berkata bahwa dari alamat ini datang koneksi ke situs Anda, tetapi tidak akan berkata bahwa permintaan itu membawa percobaan injeksi SQL. Yang membacanya adalah ModSecurity, di dalam peladen web, setelah dekripsi. Keduanya tidak saling menggantikan: yang satu memandang jaringan dari luar, yang lain memandang permintaan dari dalam.