suricata的安装和使用Windows版

找了很久，关于suricata的安装使用，相关笔记大多数是关于linux系统的，很少有关于Windows系统的详细说明。
既然我做到这个步骤了，那么由我来填补一下吧，同样的，欢迎各位大佬莅临指导！

简单介绍

Suricata是一个高性能的IDS、IPS和网络安全监控的多线程引擎,内置支持IPv6。可加载snort规则和签名，支持barnyard2。使用pcap提供的接口进行抓包，运行前电脑必须安装有pcap才可以使用。

IDS是英文“Intrusion Detection Systems”的缩写，中文意思是“入侵检测系统”；
入侵预防系统(IPS: Intrusion Prevention System)是电脑网络安全设施，是对防病毒软件（Antivirus Programs）和防火墙(Packet Filter, Application Gateway)的补充。 入侵预防系统(Intrusion-prevention system)是一部能够监视网络或网络设备的网络资料传输行为的计算机网络安全设备，能够即时的中断、调整或隔离一些不正常或是具有伤害性的网络资料传输行为为入侵防御；

下载安装

首先，关于安装包，需要npcap和suricata的，地址如下：

https://nmap.org/download.html
https://suricata.io/download/

在Windows系统中，下载好安装包后双击运行即可，较为简单。

Suricata配置文件

. ./suricata/suricata.yaml

文件架构

• Rules：Suricata基于规则检测和控制数据流量，所有规则的配置文件保存在rules目录内。
• Log：Log目录来存放各种日志文件
• Suricata.yaml：Suricata最重要的配置文件，用户配置网络、接口、日志文件和规则文件等。通过#控制开启或关闭配置。
• Classification.config：对告警信息的描述配置文件，使管理员可以区分事件。
• Reference.config：设置外部攻击识别系统引用的URL

日志文件

• eve.json：以JSON格式存储预警信息或附加信息
• fast.log：预警核心文件，只用于存储警告信息，非结构化数据
• stats.log：Suricata的统计信息
• suricata.log：Suricata程序的运行日志

Suricata.yaml配置

• Suricata 的主配置文件为suricata.yaml，通常位于安装目录下的etc或config文件夹中（如C:\Program Files\Suricata\etc\suricata.yaml）
• 在suricata.yaml中，可以配置网络接口、规则文件路径、日志输出等重要参数。
• 网络接口设置：找到af-packet或Winpcap（取决于您安装的网络数据包捕获库）相关部分，设置要监听的网络接口。比如，如果您要监听本地网络连接，可能需要设置为本地网卡对应的接口名称，可以通过Windows 的网络连接查看网卡名称。 规则文件配置：指定规则文件的路径，Suricata依赖规则文件来检测入侵行为。您可以从官方或社区获取规则文件，并将其路径配置到suricata.yaml中。
• 日志设置：配置日志的输出位置和格式。可以设置将日志保存到特定的文件目录，以及选择不同的日志格式（如 JSON、文本等）以便于后续分析。

规则设置

Rules内的足则配置支持三种方式：proofpoint规则、snort规则和自定义规则。同时支持使用Oinkmaster规则管理系统。

Suricata的使用

通常，suricata可以有两种使用方式：离线分析Pcap包和 实时分析Pcap包。
而Windows版的启动也有两种方案：命令行和快捷方式。
这里简单说一下命令行吧：打开命令提示符（以管理员身份运行），导航到 Suricata 的安装目录下的bin文件夹（例如C:\Program Files\Suricata\bin），再执行suricata - c C:\Program Files\Suricata\etc\suricata.yaml - i <网络接口名称>命令，其中- c指定配置文件路径，- i指定要监听的网络接口名称。

请读者尤其注意，文中安装目录为默认的，如有设置或更改，使用时请修改为自己的目录路径。

结果查看

suricata的结果会记录到对应的目录下的日志文件中，日志文件中包含了检测到的事件信息，如检测到的入侵尝试的时间、源 IP 地址、目标 IP 地址、涉及的协议和端口以及匹配的规则等内容，通过分析日志，可以了解网络中的安全状况，并采取相应的措施，文件名suricata.log，这里推荐大家一个好用的工具：Everything，用来查找文件非常方便~~