Configurarea și regulile Suricata

 

Suricata este un sistem de detectare și prevenire a intruziunilor (IDS/IPS) open-source, capabil să analizeze pachetele de rețea și să monitorizeze traficul pentru semne de activitate malițioasă. Este foarte configurabil și poate fi folosit în medii complexe.

1. Configurarea Suricata

A. Instalarea Suricata

Pe majoritatea distribuțiilor Linux, Suricata poate fi instalat prin managerul de pachete sau din surse. Exemple:

• Ubuntu/Debian:

  bash
  
  sudo apt update
  sudo apt install suricata
  

• CentOS/RHEL (via EPEL):

  bash
  
  sudo dnf install epel-release
  sudo dnf install suricata
  

• Din sursă (opțional):

  1. Descărcați sursa oficială:

     bash
     
     wget https://www.openinfosecfoundation.org/download/suricata-<versiune>.tar.gz
     

  2. Compilați și instalați:

     bash
     
     tar -xvf suricata-<versiune>.tar.gz
     cd suricata-<versiune>
     ./configure
     make
     sudo make install
     

B. Configurarea inițială

1. Fișierul principal de configurare:
   Localizat, de regulă, în /etc/suricata/suricata.yaml.

2. Setați interfața de rețea:
   În fișierul suricata.yaml, specificați interfața de rețea care va fi monitorizată:

   yaml
   
   af-packet:
     - interface: eth0
   

3. Configurați sursele de reguli:
   Suricata folosește reguli pentru detectarea traficului malițios. Cele mai comune surse de reguli sunt:

   • ET Open Rules (Emerging Threats):
     Gratuit, poate fi descărcat automat folosind suricata-update.
   • Reguli personalizate: Le puteți crea și adăuga manual.

   Pentru a descărca regulile oficiale:

   bash
   
   sudo suricata-update
   sudo suricata-update list-sources
   

4. Testați configurația:
   Verificați fișierul yaml pentru erori:

   bash
   
   sudo suricata -T -c /etc/suricata/suricata.yaml -v
   

5. Pornirea serviciului:

   • În mod manual:

     bash
     
     sudo suricata -c /etc/suricata/suricata.yaml -i eth0
     

   • Ca serviciu:

     bash
     
     sudo systemctl start suricata
     sudo systemctl enable suricata
     

---

2. Regulile Suricata

A. Structura unei reguli Suricata

O regulă este compusă dintr-un header și un payload.

Format general:

plaintext

alert <protocol> <source_ip> <source_port> -> <destination_ip> <destination_port> (options)

B. Exemple de reguli:

1. Detectarea unui port scan:

   plaintext
   
   alert tcp any any -> any 22 (msg:"SSH brute-force attempt"; threshold: type both, track by_src, count 5, seconds 60; sid:1000001;)
   

   • Explicație:
     • Detectează 5 conexiuni către portul 22 (SSH) în 60 de secunde.
     • msg: Mesajul afișat în alertă.
     • sid: ID-ul unic al regulii.

2. Detectarea traficului către un IP specific:

   plaintext
   
   alert ip any any -> 192.168.1.100 any (msg:"Suspicious traffic to server"; sid:1000002;)
   

3. Detectarea unui fișier descărcat:

   plaintext
   
   alert http any any -> any any (file.magic:"PDF document"; msg:"PDF file downloaded"; sid:1000003;)
   

C. Adăugarea regulilor personalizate:

1. Creați un fișier nou în directorul regulilor, de exemplu:

   bash
   
   sudo nano /etc/suricata/rules/local.rules
   

2. Adăugați regula:

   plaintext
   
   alert tcp any any -> any 80 (msg:"HTTP traffic detected"; sid:1000004;)
   

3. Actualizați configurația pentru a include regulile locale: Editați suricata.yaml:

   yaml
   
   rule-files:
     - local.rules
   

4. Reporniți Suricata pentru a încărca regulile:

   bash
   
   sudo systemctl restart suricata
   

---

3. Tipuri de acțiuni în reguli

• alert: Generează o alertă pentru evenimentele care corespund regulii.
• drop: Blochează pachetul și înregistrează evenimentul (doar în modul IPS).
• reject: Blochează pachetul și trimite un răspuns către sursă.
• pass: Permite trecerea traficului fără alte verificări.

---

4. Moduri de rulare Suricata

• IDS (Intrusion Detection System):
  Monitorizează traficul și generează alerte, fără a interveni în fluxul traficului.

  bash
  
  sudo suricata -c /etc/suricata/suricata.yaml -i eth0
  

• IPS (Intrusion Prevention System):
  Interceptează și blochează pachetele conform regulilor. Necesită configurarea în modul inline:

  yaml
  
  af-packet:
    - interface: eth0
      cluster-type: cluster_flow
      cluster-id: 98
      defrag: yes
      use-mmap: yes
  

---

5. Analiza logurilor și alertelor

Suricata generează loguri în /var/log/suricata/. Principalele fișiere:

• fast.log: Alertări rapide în format text.
• eve.json: Informații detaliate despre evenimente, în format JSON.

Pentru a analiza rapid:

bash

tail -f /var/log/suricata/fast.log
jq '.' /var/log/suricata/eve.json

---

Suricata oferă o soluție puternică și flexibilă pentru securitatea rețelei, dar necesită o configurare atentă și reguli bine definite pentru a fi eficientă.