uos(统信)--suricata环境搭建

原创

已于 2024-10-28 12:03:35 修改 · 801 阅读

6 ·

CC 4.0 BY-SA版权

文章标签：

#linux #服务器 #运维

于 2024-10-22 10:48:33 首次发布

以下内容只针对suricata 4.1.2

1. 安装 suricata

apt update                //更新源
apt install suricata jq   //在线安装 jq是用来显示Suricata的EVE JSON输出信息的工具
apt-get install suricata-update        //安装升级软件

2. 启动命令

systemctl start suricata		//启动
systemctl restart suricata		//重启
systemctl status suricata		//查看状态
systemctl enable suricata		//开机自启

3. suricata基本配置文件

/etc/suricata 下的几个配置文件：

classification.config 用于定义和分类不同类型的网络事件，比如哪些是潜在的攻击、哪些是正常的网络活动等。
reference.config 包含了一些安全网站，漏洞平台的URL网址，用来联系外部的恶意攻击检测网站。
suricata.yaml 是Suricata的主要配置文件，它包含了规则配置、接口配置、日志配置、检测配置等。
threshold.config 用于定义流量的阈值和速率限制。设置在特定时间内对特定事件或签名的触发次数进行限制。
rules/ 规则目录，存放不同种类的规则文件 *.rules，规则用来判定流量攻击类型，并定义攻击类型和告警种类等。

4. 修改 `suricata.yaml`配置文件

HOME_NET IP网段配置

其中配置文件中已经包含了RFC 1918相关的网络(具体可以参考suricata相关文档)
修改IP为系统本身网卡IP网段

修改规则路径

修改内容

default-rule-path: /etc/suricata/rules

rule-files:
 - suricata.rules
 - /opt/local.rules

修改日志文件路径

修改内容

default-log-dir: /var/log/suricata/

更改af-packet和pcap的网络名称

5. 更新规则集合来源库

这个方式是参考微软云网络监察程序那章直接下载suricata的一些规则集的，也可以使用suricata update 来更新规则集(这种方式百度会有,这里不再详述)。

# 下载规则集
wget https://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz
# 将其解压到/etc/suricata
sudo tar -zxvf emerging.rules.tar.gz -C /etc/suricata

将所有原本警告的规则集调整成彻底丢弃包

如果没有这样做，多数的危险行为还是会被放行，所以我们直接丢弃所有的危险行为。
建立一个将警告转换成丢弃包的调整设定文件：

sudo touch /etc/suricata/modify.conf

编辑modify.conf

re:. ^alert drop

注意:

更新规则集时,请关闭suircata
因为规则集中有恶意程序的特征
会被suricata自己阻挡掉,导致更新失败

更新规则集

# 所有规则合并成 suricata.rules
sudo suricata-update --modify-conf /etc/suricata/modify.conf
# 不合并
sudo suricata-update --modify-conf /etc/suricata/modify.conf --no-merge

重新启动suricata。

6. 将suricata设置为IPS(入侵防御系统)

预设的suricata运行时并不是以入侵防御系统(IPS)运行的,而是以入侵检测系统(IDS)运作的。
所以真正遇到某种攻击时，也只会发出警告。
所以我们需要对suricata做出一些改变。

修改参数脚本

sudo vi /etc/default/suricata

这个脚本会定义suircata会用IDS(只有警告)或者IPS(警告+防御)来执行。
将这段：

LISTENMODE=af-packet

修改为：

LISTENMODE=nfqueue

这样就能从IDS转变为IPS了.他就能在NFQUEUE中等待流量传入。

将网路切换为NFQUEUE

Suricata本身不具有拦截功能，需要配合iptables使用。根据你的流量场景，配置相应的iptables规则。如果是经过设备的流量，使用FORWARD链；如果是设备产生的流量，则使用INPUT和OUTPUT链。
   格式：
       iptables -I OUTPUT -j NFQUEUE --queue-num <你的队列号> --queue-bypass
   例：