工作记录---suricata扫盲

1.产品架构

suricata是一款高性能的IDS、IPS、入侵检测引擎。是snort的后续产品。

SIEM:(security information and event management)安全信息和事件管理

SIEM可以过滤电子邮件，搜索关键词和发现安全缺口,为日志和事件管理提供正确的解决方案。
SIEM 实际上是两类产品的集合体，其中SIM(安全信息管理)负责收集来自各个安全日志文件的数据，并整理创建成最终报告，SEM(安全事件管理)利用事件关联和报警机制来帮助分析安全事件。而传统的日志管理工具只能收集日志文件并给出报告。

Barnyard2： 知名的开源IDS的日志工具，具有快速的响应速度，优异的数据库写入功能，是做自定义的入侵检测系统不可缺少的插件。

SnortSam有两个基本的组成部分：插件和代理。插件是一个标准的snort输出插件，用于当规则触发时向代理发送指令。这些指令以加密的方式发送。代理负责解密收到的指令，建立和移除防火墙规则。当一条入侵信息触发了Snort的一条入侵规则时，它能够及时向插件传送报警信息。插件根据传递过来的报警信息，生成FWsampacket或者FWsampacket6报警包，并引入TwoFish算法对对通信信息进行加密后发往SnortSam，由于SnortSam输出插件与代理间需要安全的通信，所以在为snort制定SnortSam输出插件时，需要指定SnortSam代理所在主机和通讯口令。SnortSam接收到加密指令后由代理负责解密，自动生成一条阻断规则，并通过代理在防火墙IP6tables上实现。IP6tables执行这个请求，并等待代理发布一个终止请求从而移除被阻断的地址。当到达预定义的时间限制时，代理发送另一个请求删除被阻断的地址。如果在计时结束之前，该阻断地址又一次发起攻击，系统不会生成重复的防火墙规则，但会将计时器刷新，重新计时。

　　主要实现步骤如下：

　　1）新建规则文件snortsam.rules，并在此文件中编写snort新规则，并将报警信息输出至snortsam输出插件，同时设置阻断源IP数据包的时间。

　　2）在snort配置文件fwsam-snort.conf中添加新的输出插件，使snort支持snortsam输出，并设置snortsam输出插件与代理间的通讯口令。

　　3）运行snortsam代理，以入侵检测方式运行fwsam-snort。

unified2:snort的一种特殊格式。

Snorby是一个Ruby on Rails的Web应用程序，网络安全监控与目前流行的入侵检测系统（Snort的项目Suricata和Sagan）的接口。该项目的目标是创建一个免费的，开源和竞争力的网络监控应用，为私人和企业使用。