构建基于Suricata+Splunk的IDS入侵检测系统

已于 2024-05-15 13:36:31 修改
阅读量2k 收藏 9
点赞数 3
分类专栏： suricata splunk 文章标签： php 开发语言
于 2019-03-22 16:05:22 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/vevenlcf/article/details/81947521
版权

一.什么是IDS和IPS？

IDS(Intrusion Detection Systems)：入侵检测系统，是一种网络安全设备或应用软件，可以依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，并发出安全警报。

IPS(Intrusion Prevention System)：入侵防御系统，除了具有IDS的监控检测功能之外，可以深度感知检测数据流量，对恶意报文进行丢弃，以阻止这些异常的或是具有伤害性的网络行为。

NSM：网络安全监控系统，用于收集、检测和分析网络安全数据，通常IDS是其组成部分之一。

IPS入侵防御系统，是在IDS入侵检测系统的基础上，增加了事件处理以及安全防护功能，能够主动对安全事件进行响应。

二.IDS/IPS的功能及分类

1.IDS根据两种方法进行分类：按照数据来源、按照入侵检测策略。

按照数据来源分类

  • 基于网络的入侵检测系统（NIDS）
  • 基于主机的入侵监测系统（HIDS）
  • 分布式入侵检测系统（DIDS）

按照入侵检测策略分类

  • 滥用检测
  • 异常检测
  • 完整性分析

2.IPS从功能上具有以下几个组成部分：

  • 数据采集：采集和捕获流量数据
  • 入侵检测：分析流量和日志数据，发现安全异常行为并发出警报,常见的有Snort、Suricata、Bro
  • 结果展示：用于分析IDS警报并进行友好展示,常见的IDS警报分析工具有Snorby、Sguil、Base等
  • 安全防御：主动响应安全事件，采取丢弃数据包等等措施来阻止异常网络行为，比如与iptables联用

三.IDS检测方法

IDS根据入侵检测的行为分为：异常检测和误用检测。

1、异常检测方法

  • 统计异常检测方法
  • 特征选择异常检测方法
  • 基于贝叶斯推理异常检测方法
  • 基于贝叶斯网络异常检测方法
  • 基于模式预测异常检测方法

2、误用检测方法

  • 基于条件的概率误用检测方法
  • 基于专家系统误用检测方法
  • 基于状态迁移分析误用检测方法
  • 基于键盘监控误用检测方法
  • 基于模型误用检测方法

四.构建基于Suricata+Splunk的IDS入侵检测系统

Suricata

随着越来越多的服务器将网卡升级到10GB/40GB以太网，对线路上的硬件进行计算密集型的入侵检测越来越困难。suircata是一款支持IDS和IPS的多线程入侵检测系统，与传统snort相比，suricata的多线程和模块化设计上使其在效率和性能上超过了原有snort，它将 CPU 密集型的深度包检测工作并行地分配给多个并发任务来完成。这样的并行检测可以充分利用多核硬件的优势来提升入侵检测系统的吞吐量，在数据包的深度检测上效果优越。并且suricata可以兼容现有的Snort规则签名，还增加了对ipv6的支持，已经逐渐成为传统snort入侵检测系统的代替方案。

参数SnortSuricata
安装方式源码安装、安装包安装源码安装
协议TCP，UDP，ICMP，IPTCP，UDP，ICMP，IP，HTTP，FTP，TLS（SSL），SMB，DNS
规则Snort规则，EmergingThreats规则Snort规则，EmergingThreats规则，VRT::Snort 规则
线程单线程多线程
IPS支持与iptables等联用实现支持自动处理
IPv6支持少数支持全面支持
抓包方式libpcapPF_RING, cua,netmap,af-packet
帮助资料官网及网络上大量资料Suricata wiki

Splunk

splunk是一款数据分析系统。它在快速收集、搜索、分析、实时获取数据方面的能力较为突出，效率高，能够处理PB级数据，并且它支持对数据源进行实时监控。支持自定义过滤规则。splunk使用简单，通过用户图形界面进行各种统计分析操作， 能够对数据进行可视化展示，形象直观。本实验中利用splunk实时监控IDS的警报日志文件fast.log。

1.安装Suricata

suricatawiki参考文档

1.安装suricata依赖

apt-get -y install libpcre3 libpcre3-dbg libpcre3-dev \
build-essential autoconf automake libtool libpcap-dev libnet1-dev \
libyaml-0-2 libyaml-dev zlib1g zlib1g-dev libmagic-dev libcap-ng-dev \
libjansson-dev pkg-config

安装libhtp库

git clone  https://github.com/OISF/libhtp.git
cd libhtp/
./autogen.sh
./configure
make && sudo make install

2.下载suricata

去官网下载suricata并解压

3.编译suricata

默认模式下，Suricata以IDS模式运行，编译命令：

./configure --prefix=/usr --sysconfdir=/etc --localstatedir=/var

如果需要 Suricata 同时运行 IDS 和 IPS，需要安装额外依赖并使用如下命令进行编译

sudo apt-get -y install libnetfilter-queue-dev libnetfilter-queue1 libnfnetlink-dev libnfnetlink0  
./configure --enable-nfqueue --prefix=/usr --sysconfdir=/etc --localstatedir=/var

4.安装suricata

make && sudo make install
sudo make install-conf # 安装默认配置  
sudo make install-rules # 安装默认规则  
sudo ldconfig # 让系统共享动态链接库

配置并使用Suricata监控安全事件

编辑配置文件

如果我们安装时使用下面的命令，会进行默认配置，我们只需要修改相关配置文件中的参数即可。如果已经使用了默认配置，请直接跳到步骤4。

sudo make install-conf  # 安装默认配置  
sudo make install-rules # 安装默认规则

如果没有安装默认配置和规则，我们需要手动进行配置。参考步骤1、2、3。

创建Suricata配置目录和日志目录

sudo mkdir /var/log/suricata
sudo mkdir /etc/suricata

把规则文件拷贝到Suricata配置目录下

wget http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz
tar zxvf emerging.rules.tar.gz
sudo cp -R rules/ /etc/suricata/

把Suricata安装源文件中的suricata.yaml、classification.config、reference.config文件拷贝到Suricata的配置目录下

cd suricata
sudo cp suricata.yaml classification.config reference.config /etc/suricata/

编辑配置文件

suricata的配置文件路径是：/etc/suricata/suricata.yaml

sudo vim /etc/suricata/suricata.yaml

我们需要注意一下几个关键参数

HOME_NET: 它指定了Suricata 监控的本地网络，根据自己的网络情况进行修改

HOME_NET: "[192.168.0.0/16,10.0.0.0/8,172.16.0.0/12]"

EXTERNAL_NET 变量的 !$HOME_NET 代表除本地网络之外的其他网络。

default-log-dir：日志文件存储路径，默认是/var/log/suricata。

outputs：outputs选项下有很多可以输出的配置选项，包括警告、检测的数据包、产生的结果等，可以根据自己的需求进行配置。

  • fast.log：默认的警告输出文件。
  • unified2.alert：数据包输出文件，将整个数据包以二进制的方式存储到文件中。
  • http.log：HTTP日志，包含了http请求、HOST字段、URI字段和User-Agent字段。
  • Syslog：这个选项决定了是否将suricata的警告输出到syslog文件中。
  • Drop.log：当suricata工作在IPS模式下的时候，可以使用drop操作规则，这些drop掉的数据包信息就会存储在drop.log文件中

max-pending-packets: 设置suricata能同时处理的数据包数量，最少为1，最大值取决于内存的大小，更大的内存可以设置更大的值并拥有更好的性能，默认值是1024。

default-packet-size：对处理的每个数据包的大小进行限制。默认值是1514，也是TCP数据包的最大长度（当数据超过这个长度便会使用TCP报文重组技术）。

编辑测试规则

针对suricata的安全规则的配置，可以参考suricata配置文档

修改/etc/suricata/suricata.yaml文件，设置我们的测试规则文件my.rules

default-rule-path: /etc/suricata/rules
rule-files:
 - my.rules

然后我们去/etc/suricata/rules目录下创建我们的自定义规则文件my.rules

在该文件中，我们写下自己的测试规则

alert icmp $HOME_NET any -> $EXTERNAL_NET any (msg:"TEST :ICMP PING"; itype:8; sid:20000; rev:3;)
alert tcp any any -> any 80 (msg:"http test";)
alert http any any -> any any (msg:"Filemagic jgp(1)"; flow:established; filemagic:"JPEG image data"; filestore; sid:10; rev:1;)

运行suricata进行测试

Suricata有不同的运行模式，我们可以使用如下命令查看

sudo suricata --list-runmodes

启动Suricata之前，强烈建议先关闭网卡的LRO/GRO功能（即网卡收包时将同一流的小包合并成大包）。这会导致Suricata处理时很容易出现丢包问题，传输速度慢。解决方法，关闭LRO/GRO功能，命令：

ethtool -k eth0 #查看LRO/GRO当前是否打开
ethtool -K eth0 lro off #关闭LRO
ethtool -K eth0 gro off #关闭GRO

如果看到下列警示信息，可以忽视。它说明你的网卡不支持LRO。

Cannot change large-receive-offload

然后我们启动suricata

sudo suricata -c /etc/suricata/suricata.yaml -i eth0

此时，suricata会开始监听我们的流量，如果触发了规则，会在默认日志路径/var/log/suricata/下产生警报文件fast.log

使用Suricata监控网络攻击

模拟网络攻击：mysql暴力破解

IDS检测规则

alert tcp $EXTERNAL_NET any -> $HOME_NET 3306 (msg:"MySQL Login Attack"; sid:11619; gid:3; rev:6; classtype:attempted-admin; reference:cve,2006-1518; metadata: engine shared, soid 3|11619, service mysql;)

此规则可以检测出尝试枚举mysql管理员密码的暴力破解攻击。

使用Splunk分析展示IDS警报

下载splunklight版

安装web环境：php+apache2

sudo apt-get install php7.0 libapache2-mod-php7.0 apache2

运行splunk服务

cd splunk\bin\
./splunk start

然后访问本机8080端口即可。
 

./splunk enable web-ssl //启用SSL

./splunk disable web-ssl //禁用SSL

接下来我们还要设置监控目录或者文件

我们可以动态监控警报文件/var/log/suricata/fast.log

[root@localhost bin]# ./splunk add monitor /usr/local/var/log/suricata/
Splunk username: admin
Password: 
Added monitor of '/usr/local/var/log/suricata'.

（注意初始用户名为： admin 密码在启动时候需要设置！）

我已经下好了 splunk 地址： 

360安全云盘 - 安全可靠-高速下载 （提取码：bab3）

splunk官方文档说明： http://docs.splunk.com/Documentation/Splunk/7.1.2

最后来看一下效果展示：

index=main sourcetype="json-too_small" | top 100  dest_ip | iplocation dest_ip | geostats count

tiny丶
关注
专栏目录
13款入侵检测系统介绍（HIDS）
神棍之路
03-07 8503
入侵检测系统IDS是入侵检测系统，IPS是入侵防御系统。尽管IDS可以检测对网络和主机资源的未授权访问，但是IPS可以完成所有这些工作，并实施自动响应以将入侵者拒之门外，并保护系统免遭劫持或数据被盗。IPS是具有内置工作流程的IDS，该工作流程由检测到的入侵事件触发。入侵检测系统（IDS）仅需要识别对网络或数据的未授权访问即可获得标题。被动IDS将记录入侵事件并生成警报以引起操作员的注意。被动IDS还可以存储有关每个检测到的入侵和支持分析的信息。
suricata规则：Suricata IDS规则使用检测红队渗透恶意行为等，支持检测CobaltStrikeMSFEmpireDNS隧道Weevely菜刀冰蝎反弹shellICMP隧道等
02-06
suricata规则：Suricata IDS规则使用检测红队渗透恶意行为等，支持检测CobaltStrikeMSFEmpireDNS隧道Weevely菜刀冰蝎反弹shellICMP隧道等
Suricata 开源网络入侵检测系统（IDS）和入侵防御系统（IPS）安装和使用
最新发布
zengliguang的专栏
08-28 977
Suricata 是一个强大的开源网络入侵检测系统（IDS）和入侵防御系统（IPS）。
Security Onion(安全洋葱)开源入侵检测系统(ids)安装
Innocence_0的博客
04-21 1467
SecurityOnion是一款专为入侵检测和NSM(网络安全监控)设计的Linux发行版。其安装过程很简单，在短时间内就可以部署一套完整的NSM收集、检测和分析的套件。SecurityOnion可能是主动的，用于识别漏洞或过期的SSL证书。或者也可能是被动的，如事件响应和网络取证。其镜像可以作为传感器分布在网络中，以监控多个VLAN和子网。从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。
Security onion 开源IDS入侵检测系统 2.3.220超详细保姆级部署教程
DevonL的博客
04-12 5451
Security Onion是一个免费和开放的Linux发行版，用于威胁搜索、企业安全监控和日志管理。 易于使用的设置向导允许你在几分钟内为你的企业建立一支分布式传感器部队 Security Onion包括一个原生的网络界面，其内置的工具可供分析师用于响应警报、威胁狩猎、将证据编入案例、监控网格性能等
网络入侵检测系统之Suricata(二)
诗酒趁年华
01-07 1721
Running mode Sruciata由线程和队列组成，数据包在线程间传递通过队列实现。线程由多个线程模块组成，每个线程模块实现一种功能。 Suricata有多种运行模式，这些模式与抓包驱动和IDS/IPS选择相关联。抓包驱动如：pcap, pcap file，nfqueue，ipfw，dpdk或者一个特有的抓包驱动等。Suricata在启动时只能选择某个运行模式。如-i选项表示pcap， -r表示pcapfile，-q表示nfqueue等。每一种运行模式都会初始化一些threads，queues等。模
IDS:Splunk 或 EVE 的 Suricata 设置
05-30
入侵检测系统（Intrusion Detection System，简称IDS）是网络安全中的一个重要组成部分，它主要用于监控网络或系统的活动，识别潜在的攻击或恶意行为，并及时发出警报。本篇将重点介绍两种广泛使用的开源IDS：Splunk...
suricata-5.0.3源码包
07-30
Suricata是一款强大的开源入侵检测系统（IDS）和入侵防御系统（IPS），它在网络安全领域中扮演着重要的角色。此源码包版本为5.0.3，这意味着它包含了该软件开发过程中的最新特性和改进。这个源码包被确认可以在...
网络安全进阶：入侵检测与日志分析
### 1.1 入侵检测系统（IDS）的原理与分类 入侵检测系统（IDS）是网络安全领域中用于监视和检测网络中恶意活动的重要工具。IDS根据其工作原理和部署位置可以分为网络IDS（NIDS）和主机IDS（HIDS）两种主要类型。...
网络入侵检测软件snort使用说明
07-14
Snort是一款开源的网络入侵检测系统（IDS），它能够实时监控网络流量，识别并阻止潜在的攻击行为。作为一款强大的安全工具，Snort通过解析网络数据包，分析其内容，来发现异常活动和已知攻击模式。以下是关于Snort...
SELKS, 基于Suricata的ids/ips发行版.zip
09-18
SELKS, 基于Suricata的ids/ips发行版 SELKS 介绍SELKS是一个免费开源的基于 linux ( with x 窗口管理器)的ids/ips平台，它从Stamus网络( https://www.stamus-networks.com/ ) 中发布。SELKS ISO
vagrant-ids：包含Suricata，PulledPork，Bro和Splunk的Ubuntu 16.04构建
02-06
vagrant-ids：包含Suricata，PulledPork，Bro和Splunk的Ubuntu 16.04构建
Ubuntu 16.04 下安装运行 Suricata
qq_40907977的博客
04-25 1183
介绍 Suricata是一个免费、开源、成熟、快速、健壮的网络威胁检测引擎。Suricata引擎能够进行实时入侵检测(IDS)、内联入侵预防(IPS)、网络安全监控(NSM)和离线pcap处理。Suricata使用强大而广泛的规则和签名语言来检查网络流量，并提供强大的Lua脚本支持来检测复杂的威胁。使用标准的输入和输出格式(如YAML和JSON)，使用现有的SIEMs、Splunk、Logstas...
如何使用Splunk检测恶意软件
weixin_33961829的博客
12-28 579
恶意软件的渗入、运行、传播一般都会在系统和网络中留下痕迹，这些痕迹翻译成计算机语言则包括了进程的创建、dll装载、网络连接、文件创建和更改、注册表启动项更改、服务与任务配置修改等信息， 通过Windows的sysmon监控这些痕迹，并实时传递给Splunk进行处理与关联分析，可以高效的识别出恶意或异常活动，理解网络中的入侵者和恶意行为. 一、前言 ...
Suricata-IDS与IPS
Phantasm的博客
02-08 1008
Thank Zhihao Tao for your hard work. The document spent countless nights and weekends, using his hard work to make it convenient for everyone. If you have any questions, please send a email to zhihao.tao@outlook.com 文章目录1. 简述2. 入侵检测系统(IDS)3. 入侵防御系统(IPS).
网络入侵检测系统之Suricata(四)--初始化模块代码详解
诗酒趁年华
02-03 2151
initial Module 初始化流程 初始化Suricata instance 用来保存程序当前的一些状态、标志等上下文环境，通常是用来作为参数传递给各个模块的子函数 memset(suri, 0x00, sizeof(*suri)); // pointer to argv[0] suri->progname = progname; //运行模式 suri->run_mode = RUNMODE_UNKNOWN; memset(suri->pcap_dev, 0, sizeof(
Suricata IDS 入门 — 规则详解
SHELLCODE_8BIT的博客
12-21 6671
suricata是一款开源高性能的入侵检测系统，并支持ips（入侵防御）与nsm（网络安全监控）模式，用来替代原有的snort入侵检测系统，完全兼容snort规则语法和支持lua脚本。 安全脉搏SecPulse.Com独家发文，如需转载，请先联系授权。 1.规则配置 配置文件位置：/etc/suricata/suricata.yaml 规则目录位置：/etc/suricata/rules 先设置HOME_NET与EXTERNAL_NET，推荐HOME_NET填写内网网段，EXTERNAL_NET设
Vue+Suricata网络入侵检测系统实现与安装教程
资源摘要信息:"本资源是一套基于Vue.js前端框架和Suricata入侵检测引擎实现的简单网络入侵检测系统。该系统旨在提供一个可视化的界面来展示网络流量监控和潜在入侵行为的检测结果。项目包含完整源码、文档说明以及...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

tiny丶

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值