Suricata

Suricata は、ネットワークを流れる通信をルールと照らし合わせ、怪しい通信を見つけるとアラートとして記録するエンジンです。非営利団体 OISF が開発しているオープンソースで、設定を変えると通信を止める防御役にもなります。

この記事は、Wireshark でパケットを読んだことがあり、次は自動で見張る仕組みを試したい人に向けています。読み終えると、次のことができるようになります。

• 検証用の Ubuntu に Suricata を入れて、ルールを取得する
• テスト用のルールでアラートを出し、ログを読む
• IDS モードと IPS モードの違いを説明する

##Suricata でできること

公式ドキュメントは、Suricata をネットワークの IDS、IPS、ネットワークセキュリティ監視（NSM）のエンジンと説明しています。

• 通信をルールと照合し、当たったものをアラートとして記録する
• 結果を fast.log（1 行ずつのアラート）や eve.json（JSON 形式の詳しい記録）に出す
• 保存済みの pcap ファイルを読み込んで、後から検査する
• IPS モードでは、ルールに当たった通信を止める

##IDS モードと IPS モードの違い

Linux で IPS にするには、たとえば iptables で通信を NFQUEUE に回し、-q オプションでキュー番号を指定して起動します。この記事の手順は IDS モードだけを扱います。

##安全な試し方：検証用の Ubuntu で IDS を動かす

自分で作った仮想マシンで、その仮想マシン自身の通信だけを検査します。公式のクイックスタートに沿った手順です。

1. 公式の PPA を追加して、Suricata と JSON を読むための jq を入れます。

   sudo add-apt-repository ppa:oisf/suricata-stable
   sudo apt update
   sudo apt install suricata jq

2. ip addr でネットワークインターフェースの名前と IP アドレスを確かめます。

3. /etc/suricata/suricata.yaml を開き、HOME_NET に自分のネットワークが含まれているか確かめます。af-packet の interface を、手順 2 で確かめた名前に合わせます。

4. sudo suricata-update でルールを取得します。標準では ET Open というルールセットが /var/lib/suricata/rules に入ります。

5. sudo systemctl restart suricata で再起動します。

6. 別の端末で sudo tail -f /var/log/suricata/fast.log を実行しておき、curl http://testmynids.org/uid/index.html を実行します。この URL は、ET Open のテスト用ルール（sid 2100498）に当たる応答を返します。

7. fast.log にアラートが 1 行出れば、検知が動いています。

##ルールの入手と管理

ルールの取得と更新には、Suricata に同梱されている suricata-update を使います。

ルールは頻繁に更新するよう、公式も勧めています。自分で書いたルールは、ルールファイルとして追加できます。

##主なコマンドラインオプション

-r を使えば、Wireshark で記録した自分の pcap ファイルを後から検査できます。

##注意点

##次に読む

• cd ../wiresharkWiresharkアラートの元になったパケットを 1 つずつ読むツール
• cd ../wazuhWazuhSuricata のアラートを集めてダッシュボードで見られる監視基盤
• cat ~/guides/lab-setup.md安全な検証環境の作り方