搭建suricata系统 网络流量检测系统

1.配置suricata

首先确定端口和IP地址

tess@tess-virtual-machine:~$ ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:23:27:e9 brd ff:ff:ff:ff:ff:ff
    altname enp2s1
    inet 192.168.186.129/24 brd 192.168.186.255 scope global dynamic noprefixroute ens33
       valid_lft 1287sec preferred_lft 1287sec
    inet6 fe80::f179:8268:8196:61da/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever

 再根据显示信息配置suricata，有许多可能的配置选项，我们主要关注HOME_NET变量的设置和网络接口配置。在大多数情况下，HOME_NET变量应该包括被监控接口的IP地址和所有使用的本地网络。

  在本例中，接口名称为ens33，因此需要匹配

sudo vim /etc/suricata/suricata.yaml

 

2.更新suricata规则

sudo suricata-update

Suricata使用签名来触发警报，所以有必要安装这些并保持更新。签名也称为规则，因此称为规则文件。使用该工具，Suricata -update规则可以被获取、更新和管理，并为Suricata提供。

3.运行suricata

更新规则后将suricata重启

sudo systemctl restart suricata

查看suricata日志

sudo tail /var/log/suricata/suricata.log

要提示：

<Notice> - all 2 packet processing threads, 4 management threads initialized, engine started.

 如图

 

为了看见suricata运行，查看stats.log文件，默认情况下每八秒更新一次，显示当前状态的更新值，如处理的数据包数量和解码的流量类型

sudo tail -f /var/log/suricata/stats.log

运行结果如