Suricata IDS — ağ dedektörü

ELK yığını olmadan Suricata uyarıları

Suricata bulgularını eve.json dosyasına, olay başına bir JSON nesnesi olarak yazar; alışılmış öneri de bütün bunları Elasticsearch’e göndermek ve Kibana üzerinden bakmaktır. Bir kümede bu makuldür. Tek bir VPS’te ise bir arama motoru, bir günlük toplayıcı ve bir gösterge paneli sunucusu ayakta tutmak demektir — birkaç gigabayt bellek ve bakılacak ikinci bir sistem — sadece uyarıları, zaten yazıldıkları makineden okuyabilmek için.

Bu sayfa eve.json dosyasını doğrudan okur, derlemenizin ürettiği durumlarda fast.log dosyasını da. Son yirmi dört saatin uyarılarını kategoriye göre gruplayarak, en çok uyarı üreten adresleri ve tek tek imzaları kaynak, hedef, protokol ve önem derecesiyle birlikte gösterir.

Suricata çalışıyor ama hiçbir şey bildirmiyorsa, neden neredeyse her zaman kurallardadır, trafikte değil: taze bir kurulum, suricata-update en az bir kez çalışana dek hiçbir imza içermez. Öteki sürpriz önem derecesidir. Açığa çıkmış bir algılayıcının bildirdiklerinin çoğu, asla bir şeye dönüşmeyen düşük dereceli taramadır; bu yüzden sayacı okumadan önce kategorilere bakın.

Hat üzerindeki bir algılayıcının, sık takılınan bir sınırı vardır: şifreli trafiği bayt akışı olarak görür. Bu adresten sitene bir bağlantı geldiğini söyler, ama isteğin içinde SQL enjeksiyonu denemesi olduğunu söylemez. Onu ModSecurity okur, web sunucusunun içinde, şifre çözüldükten sonra. İkisi birbirinin yerini tutmaz: biri ağa dışarıdan bakar, öteki isteğe içeriden.