suricata初体验+wireshark流量分析

目录

一、suricata介绍

1.下载安装

2.如何使用-攻击模拟

二、wireshark流量分析

1.wireshark过滤器使用

 2.wireshark其他使用


一、suricata介绍

1.下载安装

通过官网下载suricata,根据官网步骤进行安装。

官网地址:
https://documentation.wazuh.com/

 

$ sudo add-apt-repository ppa:oisf/suricata-stable
$ sudo apt-get update
$ sudo apt-get install suricata -y

$ cd /tmp/ && curl -LO https://rules.emergingthreats.net/open/suricata-6.0.8/emerging.rules.tar.gz
$ sudo tar -xvzf emerging.rules.tar.gz && sudo mv rules/*.rules /etc/suricata/rules/
$ sudo chmod 640 /etc/suricata/rules/*.rules


在/etc/suricata/suricata.yaml中进行修改配置:
HOME_NET: "<UBUNTU_IP>"  #此处为本机IP地址
EXTERNAL_NET: "any"

default-rule-path: /etc/suricata/rules
rule-files:
- "*.rules"   #此处该为可以匹配多条规则

# Global stats configuration
stats:
enabled: no  #将原本规则中的yes该为no

# Linux high speed capture support
af-packet:
  - interface: ens33  #修改本机的网卡配置  

 以上配置完毕后,重启suricata。

重启:
systemctl restart suricata

 进入wazuh匹配文件,需将suricata加入,使wazuh代理可以读取suricata日志文件。

进入wazuh配置文件,/var/ossec/etc/ossec.conf
<ossec_config>
  <localfile>
    <log_format>json</log_format>
    <location>/var/log/suricata/eve.json</location>
  </localfile>
</ossec_config>

 然后重启wazuh服务。

2.如何使用-攻击模拟

直接在wazuh服务ping端点IP。

 然后查看可视化警报,可见可以检测到攻击。

使用wazuh和suricata配合可以快速的检测网络流量,扫描出攻击类型。然后进行分析流量,可以确定攻击手段,制定规则来修补漏洞。

二、wireshark流量分析

1.wireshark过滤器使用

主要分为三个区域。

抓取源IP所有数据包:ip.src == 源ip地址

筛选目的地址:ip.dst == 目的ip地址

端口筛选:tcp.dstport == 80

http请求筛选:http.request.method==GET/POST

 2.wireshark其他使用

数据包搜索:在wireshark界面按“Ctrl+F”,可以进行关键字搜索。

 数据包还原:选中想要还原的流量包,右键选中,选择追踪流 – TCP流/UPD流/SSL流/HTTP流。

 数据提取:文件->导出对象->HTTP

总结,以上为网络学习中不可缺少的工具,如何使用是关键,以上主要介绍相关工具的使用。

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值