Suricata IDS — netwerkdetector

Suricata-alerts zonder een ELK-stack

Suricata schrijft zijn bevindingen naar eve.json, één JSON-object per gebeurtenis, en het gangbare advies luidt dat naar Elasticsearch te sturen en via Kibana te bekijken. Op een cluster is dat verstandig. Op één VPS betekent het een zoekmachine, een logverzamelaar en een dashboardserver draaien — meerdere gigabytes geheugen en een tweede systeem om te onderhouden — om alerts te lezen vanaf de machine waarop ze al geschreven waren.

Deze pagina leest eve.json rechtstreeks, en daarnaast fast.log wanneer dat is wat uw build produceert. Ze toont de alerts van de afgelopen vierentwintig uur gegroepeerd per categorie, de adressen die er de meeste veroorzaken, en de afzonderlijke signatures met bron, bestemming, protocol en ernst.

Draait Suricata wel maar meldt het niets, dan ligt de oorzaak vrijwel altijd bij de regels en niet bij het verkeer: een verse installatie bevat geen enkele signature tot suricata-update minstens één keer gedraaid heeft. De andere verrassing is de ernst. Het meeste dat een blootgestelde sensor meldt is scanwerk van lage ernst dat nooit ergens toe leidt, dus lees de categorieën vóór de teller.

Een sensor op de lijn heeft een grens waarover men geregeld struikelt: versleuteld verkeer ziet hij als een stroom bytes. Hij zal zeggen dat vanaf dit adres een verbinding naar uw site kwam, maar niet dat het verzoek een poging tot SQL-injectie bevatte. Dat leest ModSecurity, binnen de webserver, na ontsleuteling. De twee vervangen elkaar niet: de een kijkt van buiten naar het netwerk, de ander van binnen naar het verzoek.