【IDS场景模拟】suricata检测HTTPS流量

一、如何实现检测？

针对HTTPS流量来说，毕竟不是攻击流量，而是互联网通信的标配，所以服务器端是可以解密的，解密后变成明文HTTP协议，就可以很好地实现入侵检测了。所以，要处理HTTPS流量，最关键的是，先解密HTTPS数据包，才对其进行入侵检测，通常的解决方案有两种：一是直接在代码层面进行检测，对用户输入进行检测判断。第二种方案就是通过配置HTTPS反向代理的方式来进行检测，如下图所示：

二、构造实验环境

1、一台客户机，模拟客户端发送HTTPS请求给Nginx服务器，此IP地址为：192.168.101.1

2、一台Nginx服务器，该Nginx配置HTTPS证书，并反向代理到远程Tomcat主机，此IP地址为：192.168.112.170

3、一台Tomcat服务器，docker拉取Tomcat，不配置HTTPS证书，将8080端口映射到8848端口，IP地址为：192.168.112.149

4、在Nginx或Tomcat任意一台服务器上安装Suricata，均可对Tomcat的流量进行入侵检测或防御。本次安装在Tomcat服务器中。

整个过程的通信过程如下：

三、配置Tomcat服务器

在Tomcat服务器上安装MySQL与Tomcat，并部署WoniuSales在此，同时在该服务器上安装Suricata，实现对Tomcat流量的检测

一、部署靶场

1、拉取mysql镜像

docker pull mysql:5.6

2、挂载部署mysql

docker run --name mysql01 -p 3303:3306 --privileged=true -v /usr/local/mysql01/data:/var/lib/mysql -v /usr/local/mysql01/logs:/logs -v /usr/local/mysql01/conf:/etc/mysql/conf.d -e MYSQL_ROOT_PASSWORD=123456 -d mysql:5.6

3、使用docker拉取tomcat镜像文件

docker pull daocloud.io/library/tomcat:8.5.15-jre8

4、部署tomc