Ders 4.13: Suricata ile IDS uyarıları

Bir saldırı tespit sistemi (IDS) trafiği imzalara, yani paketlerdeki bilinen kötü örüntüleri tanımlayan kurallara göre inceler ve uyarı üretir. En çok kullanılan açık kaynaklı IDS motorlarından biri olan Suricata her şeyi eve.json'a JSON olarak yazar: uyarıları ve aynı akışların protokol ayrıntılarını. Laboratuvarda bir günün uyarılarını önem derecesine göre sıralıyor, en ciddisinin arkasındaki özel kuralı okuyor, uyarıyı onu tetikleyen HTTP isteğine bağlıyor ve gürültülü ama zararsız bir imzanın yalnızca tek bir sunucu için nasıl bastırıldığını kontrol ediyorsun.

17 dk

Bu derste öğreneceklerin

İmzaya dayalı IDS'yi açıklamak
Suricata'nın eve.json dosyasını okumak
Uyarıları önem derecesine ve imzaya göre sıralamak
Bir Suricata kuralını okumak
Bir uyarıyı akışına bağlamak ve gürültüyü dar biçimde bastırmak

Temel terimler

IDS / IPS: Saldırı tespit sistemi (uyarır) / saldırı önleme sistemi (ayrıca engeller).
İmza / kural: Zararlı ya da şüpheli trafiği tanımlayan bir örüntü.
eve.json: Suricata'nın JSON günlüğü: bir flow_id paylaşan uyarılar ve protokol kayıtları (dns, http, tls, flow, fileinfo).
sid: İmza kimliği; kural başına benzersizdir. Yerel kurallar geleneksel olarak 1000000–1999999 ya da başka özel bir aralık kullanır.
Bastırma / eşik: Bir imzayı, ideal olarak yalnızca belirli bir kaynak ya da hedef için, susturan ya da hızını sınırlayan Suricata ayarları.

← Dizin aşma ve komut enjeksiyonu · Tüm dersler · Sertifikalar ve PKI →