پیکربندی و نصب سیستم Intrusion Detection با Suricata روی لینوکس

نصب روی CentOS/RHEL

1. نصب EPEL و مخازن مورد نیاز:

2. نصب Suricata:

3. بررسی نسخه نصب شده:

پیکربندی Suricata

پس از نصب، نیاز است که Suricata را پیکربندی کنید تا بتواند ترافیک شبکه را نظارت و تحلیل کند.

فایل اصلی پیکربندی

فایل پیکربندی اصلی Suricata در مسیر /etc/suricata/suricata.yaml قرار دارد. این فایل شامل تنظیمات مختلفی مانند اینترفیس شبکه، مسیر لاگ‌ها، قوانین IDS و تنظیمات پیشرفته است.

انتخاب اینترفیس شبکه

برای آنکه Suricata بتواند ترافیک شبکه را بررسی کند، باید اینترفیس صحیح شبکه را مشخص کنید.

1. نمایش اینترفیس‌ها:

2. ویرایش فایل suricata.yaml و تنظیم اینترفیس:

توجه: نام اینترفیس را با اینترفیس شبکه خود جایگزین کنید، مثلاً ens33 یا eth0

بروزرسانی قوانین Suricata

Suricata برای شناسایی حملات به قوانین (Rules) نیاز دارد. این قوانین می‌توانند از منابع مختلفی مانند Emerging Threats (ET) دریافت شوند.

1. دانلود قوانین:

2. فعال کردن قوانین در suricata.yaml:

شروع و مدیریت Suricata

1. شروع Suricata به صورت سرویس:

2. بررسی وضعیت سرویس:

3. اجرای Suricata در حالت خط فرمان برای تست:

با این روش می‌توانید ترافیک شبکه را به صورت real-time مانیتور کنید.

بررسی و تحلیل لاگ‌ها

Suricata لاگ‌های خود را معمولاً در مسیر /var/log/suricata/ ذخیره می‌کند:

• eve.json: شامل اطلاعات جامع درباره تهدیدها، لاگ‌های HTTP و DNS.

• fast.log: شامل هشدارهای فوری و حملات شناسایی شده.

• stats.log: آمار عملکرد Suricata.

برای مشاهده هشدارها:

نکات پیشرفته و بهینه‌سازی

1. استفاده از mode IPS:

   • Suricata می‌تواند به جای فقط تشخیص، حملات را مسدود کند.

   • نیاز به تنظیم nfqueue در فایل suricata.yaml دارد.

2. مانیتورینگ با ابزارهای دیگر:

   • لاگ‌ها را می‌توان به Kibana یا Elasticsearch ارسال کرد تا داشبورد گرافیکی داشته باشید.

3. بروزرسانی منظم قوانین:

   • حملات جدید هر روز اضافه می‌شوند، بنابراین Suricata-update را به صورت دوره‌ای اجرا کنید.