Suricata IDS — сетевой детектор

Оповещения Suricata без стека ELK

Suricata пишет свои находки в eve.json, по одному объекту JSON на событие, и привычный совет гласит отправить всё это в Elasticsearch и смотреть через Kibana. На кластере это разумно. На одном-единственном VPS это означает держать в работе поисковый движок, сборщик журналов и сервер дашбордов — несколько гигабайт памяти и вторую систему на обслуживании — только чтобы читать оповещения с той же машины, на которой они уже были записаны.

Эта страница читает eve.json напрямую, а также fast.log, когда именно его выдаёт ваша сборка. Она показывает оповещения за последние двадцать четыре часа, сгруппированные по категориям, адреса, порождающие их больше всех, и отдельные сигнатуры с источником, назначением, протоколом и уровнем серьёзности.

Если Suricata работает, но ничего не сообщает, причина почти всегда в правилах, а не в трафике: свежая установка не содержит ни одной сигнатуры, пока suricata-update не отработает хотя бы раз. Вторая неожиданность — серьёзность. Большая часть того, что докладывает открытый сенсор, — это сканирование низкого уровня, из которого никогда ничего не выходит, так что читайте категории раньше счётчика.

У сенсора на проводе есть предел, о который регулярно спотыкаются: зашифрованный трафик он видит как поток байтов. Он скажет, что с этого адреса пришло соединение к вашему сайту, но не скажет, что внутри запроса была попытка внедрения SQL, — это разбирает уже ModSecurity, внутри веб-сервера, после расшифровки. Инструменты не заменяют друг друга: один смотрит снаружи на сеть, другой изнутри на запрос.