Suricata IDS — نیٹ ورک ڈیٹیکٹر

‏ELK اسٹیک کے بغیر Suricata کے الرٹ

‏Suricata اپنے نتائج eve.json میں لکھتی ہے، ہر واقعے کے لیے ایک JSON آبجیکٹ، اور عام مشورہ یہ ہے کہ یہ سب Elasticsearch میں بھیجا جائے اور Kibana سے دیکھا جائے۔ کسی کلسٹر پر یہ معقول ہے۔ ایک اکیلے VPS پر اس کا مطلب ہے ایک سرچ انجن، ایک لاگ جمع کرنے والا اور ایک ڈیش بورڈ سرور چلاتے رہنا — کئی گیگابائٹ میموری اور دیکھ بھال کے لیے دوسرا نظام — صرف اس لیے کہ الرٹ اُسی مشین سے پڑھے جا سکیں جس پر وہ پہلے ہی لکھے جا چکے تھے۔

یہ صفحہ eve.json براہِ راست پڑھتا ہے، اور جہاں آپ کا بلڈ وہ بناتا ہو وہاں fast.log بھی۔ یہ پچھلے چوبیس گھنٹوں کے الرٹ قسم کے مطابق گروپ کر کے دکھاتا ہے، سب سے زیادہ الرٹ پیدا کرنے والے پتے، اور انفرادی دستخط مآخذ، منزل، پروٹوکول اور شدت کے ساتھ۔

اگر Suricata چل رہی ہے مگر کچھ نہیں بتا رہی تو وجہ تقریباً ہمیشہ قواعد میں ہوتی ہے، ٹریفک میں نہیں: تازہ تنصیب میں اُس وقت تک کوئی دستخط نہیں ہوتا جب تک suricata-update کم از کم ایک بار نہ چلے۔ دوسری حیرت شدت ہے۔ ایک کھلے سینسر کی زیادہ تر اطلاعات کم شدت کی اسکیننگ ہوتی ہیں جن سے کبھی کچھ نہیں نکلتا، لہٰذا گنتی سے پہلے اقسام پڑھیں۔

تار پر بیٹھے سینسر کی ایک حد ہے جس سے اکثر ٹھوکر لگتی ہے: خفیہ کردہ ٹریفک اسے بائٹس کے بہاؤ کی طرح دکھائی دیتی ہے۔ وہ بتائے گا کہ اس پتے سے آپ کی سائٹ کو ایک کنکشن آیا، مگر یہ نہیں بتائے گا کہ درخواست میں SQL انجیکشن کی کوشش تھی۔ اسے ModSecurity پڑھتا ہے، ویب سرور کے اندر، ڈکرپشن کے بعد۔ دونوں ایک دوسرے کا بدل نہیں: ایک نیٹ ورک کو باہر سے دیکھتا ہے، دوسرا درخواست کو اندر سے۔