Suricata IDS — detektor sieciowy

Alerty Suricaty bez stosu ELK

Suricata zapisuje swoje ustalenia do eve.json, po jednym obiekcie JSON na zdarzenie, a utarta rada każe przesłać to wszystko do Elasticsearcha i oglądać przez Kibanę. Na klastrze to rozsądne. Na pojedynczym VPS-ie oznacza to utrzymywanie wyszukiwarki, kolektora dzienników i serwera pulpitów — kilka gigabajtów pamięci i drugi system do pielęgnowania — żeby czytać alerty z tej samej maszyny, na której już zostały zapisane.

Ta strona czyta eve.json bezpośrednio, a także fast.log, jeśli to właśnie produkuje twoja kompilacja. Pokazuje alerty z ostatnich dwudziestu czterech godzin pogrupowane według kategorii, adresy generujące ich najwięcej oraz pojedyncze sygnatury ze źródłem, celem, protokołem i wagą.

Jeśli Suricata działa, ale niczego nie zgłasza, przyczyna niemal zawsze tkwi w regułach, a nie w ruchu: świeża instalacja nie zawiera żadnych sygnatur, dopóki suricata-update nie wykona się co najmniej raz. Druga niespodzianka to waga zdarzeń. Większość tego, co zgłasza wystawiony czujnik, to skanowanie o niskiej wadze, z którego nigdy nic nie wynika, więc czytaj kategorie przed licznikiem.

Czujnik na łączu ma granicę, o którą potyka się każdy: ruch szyfrowany widzi jako strumień bajtów. Powie, że z tego adresu przyszło połączenie do witryny, ale nie powie, że w żądaniu była próba wstrzyknięcia SQL. To odczytuje ModSecurity, wewnątrz serwera WWW, po odszyfrowaniu. Jedno nie zastępuje drugiego: pierwsze patrzy na sieć z zewnątrz, drugie na żądanie od środka.