Suricata介绍

Suricata 是一个开源网络威胁检测引擎，能够进行实时入侵检测（IDS）、入侵防御 （IPS）、网络安全监控 （NSM） 和离线 pcap 处理。它以其多功能性和实时处理高性能网络流量检查的能力而闻名。Suricata由开放信息安全基金会（OISF）开发，安全专业人员经常使用它来分析网络流量、检测攻击和提取有用的元数据。

2、主要特点

1）入侵检测系统 （IDS）

Suricata通过实时监控网络流量，使用签名或规则来检测可疑模式、漏洞利用和已知恶意软件，从而与传统IDS一样运行。

2）入侵防御系统 （IPS）

在内联模式 （IPS） 下运行时，Suricata可以根据预定义的规则主动阻止或丢弃恶意流量。这可以集成到防火墙或其他网络设备中，以主动保护网络。

3）网络安全监控 （NSM）

Suricata 擅长通过记录各种网络事件、协议和流来提供对网络活动的详细洞察。它捕获HTTP请求、DNS查找、SSL握手等信息，这些信息可用于取证分析。

4）PCAP 处理

Suricata 可以在离线模式下用于处理 PCAP 文件，应用与处于实时模式时相同的检测和日志记录功能。这对于分析历史流量捕获非常有用。

5）多线程性能

Suricata 旨在有效处理多核处理器，使其能够高速处理网络流量。这对于现代高吞吐量网络至关重要。

6）深度数据包检测 （DPI）

Suricata 执行深度数据包检测，分析数据包的内容（包括应用层数据）以检测恶意负载或行为。

7）协议识别和解析

Suricata 具有适用于 HTTP、DNS、FTP、SMTP、SSL/TLS 等协议的内置解析器。这允许它从流量中提取有意义的数据，以进行签名匹配、日志记录或元数据提取。

8）文件提取

Suricata 可以从网络流量流中提取文件，然后可以使用外部工具（如 YARA）分析恶意软件或其他威胁。

9）规则兼容性

Suricata 使用与 Snort 相同的规则格式，Snort 是一种流行的 IDS/IPS 引擎。这使得将现有的 Snort 规则集（例如来自 Emerging Threats 或官方 Snort 社区的规则集）与 Suricata 结合使用变得容易。

还可以创建自定义规则来检测您的环境特有的特定威胁。

10）JSON 和 EVE 输出

Suricata 的 EVE（可扩展事件格式）日志记录输出以 JSON 格式提供详细的结构化事件数据。这使得它与日志管理解决方案、SIEM 系统（如 Splunk、Elastic Stack 或 Graylog）和自定义分析工具集成变得容易。

3.安装suricata

1）配置国内镜像源

deb https://mirrors.aliyun.com/ubuntu/ noble main restricted universe multiverse
deb-src https://mirrors.aliyun.com/ubuntu/ noble main restricted universe multiverse

deb https://mirrors.aliyun.com/ubuntu/ noble-security main restricted universe multiverse
deb-src https://mirrors.aliyun.com/ubuntu/ noble-security main restricted universe multiverse

deb https://mirrors.aliyun.com/ubuntu/ noble-updates main restricted universe multiverse
deb-src https://mirrors.aliyun.com/ubuntu/ noble-updates main restricted universe multiverse

# deb https://mirrors.aliyun.com/ubuntu/ noble-proposed main restricted universe multiverse
# deb-src https://mirrors.aliyun.com/ubuntu/ noble-proposed main restricted universe multiverse

deb https://mirrors.aliyun.com/ubuntu/ noble-backports main restricted universe multiverse
deb-src https://mirrors.aliyun.com/ubuntu/ noble-backports main restricted universe multiverse

2）通过仓库进行安装

Ubuntu24.04安装最新的稳定Suricata版本

root@suricata:~# apt-get install software-properties-common -y
root@suricata:~# add-apt-repository ppa:oisf/suricata-stable -y
root@suricata:~# apt update -y && apt install suricata jq -y

3）查看版本与详情

root@suricata:~#  suricata -V

root@suricata:~#  suricata --build-info

4）更新签名

Suricata 使用 Signatures 来触发警报，因此有必要安装这些并让他们保持最新状态。签名也称为规则，因此称为rule-files。当前签名共计53398个，启用了39913个，规则签名默认路径在：/var/lib/suricata/rules/suricata.rules

root@suricata:~# suricata-update

root@suricata:~#  wc -l /var/lib/suricata/rules/suricata.rules 
53398 /var/lib/suricata/rules/suricata.rules

5）监听接口与网络

查看Suricata应检查网络的接口和IP地址包

root@suricata:~# ip add

配置suricata

root@suricata:~# vim /etc/suricata/suricata.yaml

6）重启suricata服务

root@suricata:~# systemctl enable suricata
root@suricata:~# systemctl restart suricata
root@suricata:~# systemctl status suricata

查看suricata软件服务运行日志

root@suricata:~# tail /var/log/suricata/suricata.log

7）验证suricata规则

要测试 Suricata 的 IDS 功能，最好使用签名进行测试。带有 ET Open 规则集中的ID是专门为此类测试用例编写的。规则ID为2100498，该规则将针对其负载中包含内容的任何IP流量发出警报。此规则可以很容易地触发。

alert ip any any -> any any (msg:"GPL ATTACK_RESPONSE id check returned root"; content:"uid=0|28|root|29|"; classtype:bad-unknown; sid:2100498; rev:7; metadata:created_at 2010_09_23, updated_at 2010_09_23;)

监听日志信息，通过curl访问站点触发规则进行验证。

root@suricata:~# tail -f /var/log/suricata/fast.log
root@suricata:~# curl http://testmynids.org/uid/index.html

8）Suricata日志类型

suricata日志文件包含了系统运行时所记录的各种事件和信息。默认路径为：/var/log/suricata，以下是常见的Suricata日志类型及其说明。

携手并进

共建未来