Suricata IDS — rilevatore di rete

Alert di Suricata senza uno stack ELK

Suricata scrive ciò che trova in eve.json, un oggetto JSON per evento, e il consiglio abituale è spedire il tutto in Elasticsearch e guardarlo attraverso Kibana. Su un cluster ha senso. Su un singolo VPS significa tenere in piedi un motore di ricerca, un collettore di log e un server di dashboard — diversi gigabyte di memoria e un secondo sistema da mantenere — per leggere alert dalla stessa macchina su cui erano già stati scritti.

Questa pagina legge eve.json direttamente, insieme a fast.log quando è quello che la vostra build produce. Mostra gli alert delle ultime ventiquattro ore raggruppati per categoria, gli indirizzi che ne generano di più e le singole firme con sorgente, destinazione, protocollo e gravità.

Se Suricata gira ma non segnala nulla, la causa sta quasi sempre nelle regole e non nel traffico: un’installazione nuova non porta con sé alcuna firma finché suricata-update non è stato eseguito almeno una volta. L’altra sorpresa riguarda la gravità: gran parte di ciò che un sensore esposto riporta è scansione a bassa gravità che non diventa mai nulla, quindi leggete le categorie prima del contatore.

Un sensore sul filo ha un limite contro cui si inciampa spesso: il traffico cifrato gli appare come un flusso di byte. Dirà che da questo indirizzo è arrivata una connessione al Suo sito, ma non dirà che la richiesta portava un tentativo di iniezione SQL. Quello lo legge ModSecurity, dentro il server web, dopo la decifratura. I due non si sostituiscono: uno guarda la rete da fuori, l'altro la richiesta da dentro.