suricata匹配从入门到精通(一)----suricata安装配置及使用

本文链接：https://blog.csdn.net/2401_84971751/article/details/138778278

5)所有依赖包安装完成后进行验证截图如下：

安装依赖包中可能遇到的问题：

a.安装中提示unable to locate package zliblg-dev，问题产生原因为依赖包中字母b和g中间为数字1而不是字母l，输入错误，将依赖包名改正后重新安装即可。

需要安装的依赖包太多，安装中手动一次性输入所有命令可能会存在输入错误等原

b.因导致的安装失败并且不容易找到具体安装到了哪里，建议手动输入命令时可以先安装第一个包wget，安装好后在命令后面再添加下一个包build-essential进行安装，依次类推，在安装下一个包同时顺便对前面的包进行校验。

2.Suricata的详细安装过程

1)从官网下载suricata压缩文件包，命令及运行结果截图如下（推荐下载新版6.0以后的版本）：

wget http://www.openinfosecfoundation.org/download/suricata-4.0.4.tar.gz

2）对压缩包进行解压，命令及运行结果截图如下：

tar -xvf suricata-4.0.4.tar.gz

3）进入到suricata-4.0.4目录中：cd suricata-4.0.4，非Mac OS X系统中执行命令./configure --sysconfdir=/etc --localstatedir=/var，执行结果截图如下：

## 在Mac OS X系统中执行：

4）执行make命令，执行结果如下：

5）执行sudo make install，执行结果如下：

6）执行sudo make install-conf，执行结果如下：

7）非Mac OX X中执行sudo make install-rules，Mac中执行make install-full，执行结果如下：

3.Suricata使用方式简介

本文所叙述的Suricata使用方式为在本地进行pcap包校验，如果要在网络环境中进行抓包校验，还需进行配置，可以自行学习。

1）Suricata按照以上步骤安装完成后可以正常使用本地pcap包检测，其中Suricata配置文件为/etc/suricata/suricata.yaml。对自己编写的IDS规则进行验证时首先需要在配置中添加启用自己上传的IDS规则。

进入/etc/suricata目录，使用sudo vim suricata.yaml命令打开配置文件，在蓝字step2内容中添加自己使用的IDS规则名字，命令为 - test.rules（我的规则名字是test.rules），保存并退出。

2）需要把我们需要进行测试的pcap包上传到/etc/suricata中，这里使用Xshell6来实现。从官网上下载安装Xshell6，打开后点击文件->新建，需要输入的信息有名称（自己随意设置）和主机IP（在Linux虚拟机终端中输入ifconfig获取），然后点击连接。

Xshell6与虚拟机连接后进入/etc/suricata目录，切换到用户root，使用命令rz上传需要进行IDS规则测试的文件test.pcap包。

3）Suricata安装后的规则目录为/etc/suricata/rules。在验证时需要将测试规则test.rules放置在规则目录中。进入目录/etc/suricata/rules，使用命令vim test.rules命令创建test.rules并且写入自己编写的IDS规则，保存并退出。

4）cd …/返回上级目录/etc/suricata，输入命令suricata -k none -r test.pcap -vvv -c /etc/suricata.yaml -l /home/Desktop，suricata会对本地test.pcap包进行离线测试。测试结果如下：

在Xshell界面输出的详细告警信息：

在虚拟机Desktop目录会生成3个日志文件eve.json、fast.log、state.log。

在eve.json中输出的结果：

在fast.log中输出的告警信息：

suricata -k none -r test.pcap -vvv -c /etc/suricata.yaml -l /home/Desktop 命令中，-k none是跳过对pcap包的校验，如果不带有这个参数，有的pcap包在运行过程中会报出pcap包类型错误；-r参数是对本地pcap包进行离线检测；test.pcap为需要测试的数据包的地址；-c /etc/suricata.yaml 指定配置文件的位置；-vvv参数是让命令行显示出详细的告警信息，便于观察测试结果；-l /home/Desktop参数是检测日志的输出位置，在检测完成后，suricata会把生成的3个日志文件和告警输出到虚拟机Linux的桌面，可以从中查看告警日志。

一般在IDS规则测试完毕后，Xshell命令行界面的Alerts参数输出数据为1，并且在

eve.json中可以查询到对应IDS规则的sid编号，在fast.log中能够看到对应的1条告警信息则认为是IDS规则有效。