Suricata 是一款高性能的开源网络分析和威胁检测软件,其功能包括警报、自动协议阻止、Lua 脚本和行业标准输出。
译自 Ubuntu Linux: Install the Suricata Intrusion Detection System,作者 Jack Wallen。
入侵检测系统 (IDS) 对于监控网络流量和检查恶意活动至关重要。如果您的服务器是 Linux 类型,您有很多选择,其中之一是 Suricata。
Suricata 是一款高性能的开源网络分析和威胁检测软件,被众多私人和公共组织使用,其功能包括警报、自动协议检测、Lua 脚本和行业标准输出。它提供六种操作模式:
- 入侵检测系统(默认)
- 入侵防御系统
- 网络安全监控系统
- 全包捕获
- 条件 PCAP 捕获
- 防火墙
大多数用户会选择默认模式,它是 IDS 和网络安全监控的组合,可确保警报包含有关协议、流、文件事务/提取、异常和流日志的信息。您可以从 官方网站 了解更多关于 Suricata 的信息。
Suricata 可以免费安装和使用。
我想要做的是引导您完成在 Ubuntu Server 22.04 上安装此 IDS 的过程。
要启动并运行 Suricata,您需要一个正在运行的 Ubuntu Server 22.04 实例和一个具有 sudo 权限 的用户。就是这样……让我们开始工作吧。
首先要做的是安装必要的依赖项。登录到您的 Ubuntu 服务器并使用以下命令安装这些软件包:
sudo apt install autoconf automake build-essential cargo cbindgen libjansson-dev libpcap-dev libcap-ng-dev libmagic-dev liblz4-dev libpcre2-dev libtool libyaml-dev make pkg-config rustc zlib1g-dev -y
当上述命令完成后,您就可以继续了。
接下来,我们可以下载 Suricata 源代码并解压。使用以下命令下载压缩的存档文件:
wget https://www.openinfosecfoundation.org/download/suricata-7.0.6.tar.gz
您可能需要访问 Suricata 下载页面 以确保您获取的是最新版本。
使用以下命令解压文件:
tar xvzf suricata-7.0.6.tar.gz
上述命令将创建一个名为 suricata-7.0.6 的新文件夹。
我们现在可以构建软件包了。使用以下命令切换到新创建的目录:
cd suricata-7.0.6
在该目录中,使用以下命令运行配置脚本:
./configure --enable-nfqueue --prefix=/usr --sysconfdir=/etc --localstatedir=/var
上述命令大约需要一分钟才能完成。 最后,使用以下命令安装软件包:
sudo make && sudo make install-full
安装过程将花费 5-10 分钟,具体取决于您的硬件速度。
另一种安装 Surcicata 的方法是通过 PPA 存储库。使用以下命令添加存储库:
sudo add-apt-repository ppa:oisf/suricata-stable
使用以下命令更新 apt:
sudo apt-get update
使用以下命令安装 Suricata:
sudo apt-get install suricata -y
请注意:我更喜欢使用 PPA 方法安装,因为它添加了一个 systemd 启动 文件,以便于服务控制。
安装完成后,就可以使用以下命令启动服务了:
sudo systemctl enable --now suricata
现在是配置 Suricata 的时候了。使用以下命令打开配置文件:
sudo nano /etc/suricata/suricata.yaml
我假设您将在局域网上使用 Suricata。为此,请查找以 HOME_NET
开头的行。在该行中,您需要配置您的子网(例如 192.168.1.0/16
)。
接下来,查找 af-packet
行。在其下方,您将看到 -interface: eth0
。您需要将 eth0
更改为您的网络接口的名称(可以使用 ip a
命令找到)。
完成此操作后,您需要添加以下内容以启用实时规则重新加载。以下内容可以添加到配置文件的底部:
detect-engine:
- rule-reload: true
保存并关闭文件。
完成配置后,您需要使用以下命令更新 Suricata 规则集:
sudo suricata-update
现在是时候测试运行 Suricata 了。规则更新后,我们将使用以下命令测试规则:
sudo suricata -T -c /etc/suricata/suricata.yaml -v
您不应该收到任何错误消息,测试将以以下内容结束:
注意:suricata:提供的配置已成功加载。正在退出。
使用以下命令重启服务:
sudo systemctl restart suricata
让我们进行一个快速测试。以下命令用于触发错误警报。执行以下操作:
从第二个终端(或选项卡)登录服务器。在第一个窗口中,发出以下命令:
tail -f /var/log/suricata/fast.log
在第二个终端中,发出以下命令:
curl http://testmynids.org/uid/index.html
在第一个窗口中,您应该看到如下输出:
09/04/2024-17:44:43.767928 [**] [1:2100498:7] GPL ATTACK_RESPONSE id check returned root [**] [Classification: Potentially Bad Traffic] [Priority: 2] {TCP} 2600:9000:24d7:6c00:0018:30b3:e400:93a1:80 -> 2600:1700:6d90:f6b0:0000:0000:0000:001c:35524
Suricata 捕获了错误警报。
现在您已经启动并运行 Suricata(并成功测试),请查看 Suricata 规则的官方文档,这些规则可以帮助您充分利用这个免费的开源入侵检测系统。Suricata 是一个使用起来相当复杂的系统,因此我建议您通读官方文档以更好地了解其工作原理。
如果您更喜欢使用 GUI 管理 Suricata,我建议您查看 IDS Tower。