{"id":85990,"date":"2020-06-21T01:42:12","date_gmt":"2020-06-20T23:42:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata"},"modified":"2020-06-21T01:42:12","modified_gmt":"2020-06-20T23:42:12","slug":"snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","title":{"rendered":"Snort eller Suricata. Del 2: installation og grundl\u00e6ggende ops\u00e6tning af Suricata","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hvis man skal tro statistikken, stiger m\u00e6ngden af netv\u00e6rkstrafik med cirka 50% hvert \u00e5r. Det f\u00f8rer til \u00f8get belastning p\u00e5 udstyret og h\u00e6ver navnlig kravene til ydeevnen af IDS\/IPS. Man kan k\u00f8be dyrt specialiseret hardware, men der er en billigere l\u00f8sning \u2014 at implementere et af de open source-systemer. Mange nybegyndere tror, at det er ret sv\u00e6rt at installere og konfigurere en gratis IPS. Med Suricata er det ikke helt rigtigt \u2014 det er muligt at installere den og begynde at afv\u00e6rge standardangreb med et s\u00e6t gratis regler p\u00e5 f\u00e5 minutter.<\/p>\n

\"Snort<\/a><\/noindex><\/a><\/noindex>
\nSnort eller Suricata. Del 1: V\u00e6lg en gratis IDS\/IPS til beskyttelse af virksomhedens netv\u00e6rk<\/a><\/noindex><\/p>\n

Hvorfor har vi brug for endnu en open source IPS?<\/h2>\n

\nSystemet Snort, som l\u00e6nge har v\u00e6ret anset som standard, er blevet udviklet siden slutningen af 90'erne, og det var oprindeligt en enkelttr\u00e5det l\u00f8sning. Gennem mange \u00e5r er der blevet tilf\u00f8jet moderne funktioner som st\u00f8tte til IPv6, mulighed for analyse af applikationsprotokoller og en universel datatilgangsmodul. <\/p>\n

Den grundl\u00e6ggende Snort 2.X-motor har l\u00e6rt at arbejde med flere kerner, men den er stadig enkelttr\u00e5det og kan derfor ikke udnytte fordelene ved moderne hardwarer. <\/p>\n

Problemet blev l\u00f8st i den tredje version af systemet, men udviklingen tog s\u00e5 lang tid, at der p\u00e5 markedet allerede var kommet en helt nyudviklet Suricata. I 2009 begyndte man at udvikle den netop som en multitr\u00e5det alternativ til Snort, fra starten med IPS-funktioner. Koden distribueres under GPLv2-licensen, men finansielle partnere i projektet har adgang til en lukket version af motoren. Nogle skaleringsproblemer i de tidlige versioner af systemet opstod, men de blev hurtigt l\u00f8st.<\/p>\n

Hvorfor Suricata?<\/h2>\n

\nI Suricata findes der flere moduler (ligesom i Snort): indfangning, indsamling, dekodning, opdagelse og output. Som standard g\u00e5r den indfangede trafik til dekodning i \u00e9n str\u00f8m, selvom dette belaster systemet mere. Om n\u00f8dvendigt kan str\u00f8mme opdeles i indstillingerne og fordeles p\u00e5 processorer \u2013 Suricata er meget godt optimeret til specifik hardware, selvom det ikke er p\u00e5 niveau med en HOWTO for begyndere. Det er ogs\u00e5 v\u00e6rd at bem\u00e6rke tilstedev\u00e6relsen af avancerede HTTP-inspektionsv\u00e6rkt\u00f8jer baseret p\u00e5 HTP-biblioteket i Suricata. Disse kan ogs\u00e5 bruges til at logge trafik uden detektion. Systemet underst\u00f8tter ogs\u00e5 dekodning af IPv6, herunder tunneler IPv4-in-IPv6, IPv6-in-IPv6 og andre. <\/p>\n

Der kan anvendes forskellige interfaces (NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING) til at opfange trafik, og i Unix Socket-tilstand kan indfangede filer fra en anden sniffer automatisk analyseres. Derudover forenkler Suricatas modul\u00e6re arkitektur tilf\u00f8jelsen af nye elementer til indfangning, dekodning, analyse og behandling af netv\u00e6rkspakker. Det er ogs\u00e5 vigtigt at bem\u00e6rke, at trafikblokering i Suricata udf\u00f8res ved hj\u00e6lp af operativsystemets indbyggede filter. I GNU\/Linux er der to arbejdsmetoder til IPS: gennem NFQUEUE (NFQ-tilstand) og gennem zero copy (AF_PACKET-tilstand). I det f\u00f8rste tilf\u00e6lde sendes det, der rammer iptables-pakken, til NFQUEUE, hvor det kan behandles p\u00e5 brugerniveau. Suricata k\u00f8rer det gennem sine regler og afg\u00f8r en af de tre domme: NF_ACCEPT, NF_DROP og NF_REPEAT. De f\u00f8rste to kr\u00e6ver ingen forklaring, mens den sidste tillader m\u00e6rkning af pakker og sender dem til begyndelsen af den nuv\u00e6rende iptables-tabel. AF_PACKET-tilstanden er kendetegnet ved h\u00f8jere ydeevne, men p\u00e5l\u00e6gger systemet en r\u00e6kke begr\u00e6nsninger: det skal have to netv\u00e6rksinterface og fungere som en gateway. Den blokerede pakke sendes simpelthen ikke videre til det andet interface. <\/p>\n

En vigtig funktion ved Suricata er muligheden for at bruge Snorts v\u00e6rkt\u00f8jer. Administratoren har adgang til blandt andet Sourcefire VRTs regels\u00e6t og OpenSource Emerging Threats, samt de kommercielle Emerging Threats Pro. Den samlede output kan analyseres ved hj\u00e6lp af popul\u00e6re backend-systemer, og der underst\u00f8ttes ogs\u00e5 output i PCAP og Syslog. Systemindstillinger og regler opbevares i YAML-filer, der er letl\u00e6selige og kan behandles automatisk. Suricata-motoren genkender mange protokoller, s\u00e5 der er ikke behov for at knytte reglerne til en portnummer. Derudover praktiseres konceptet flowbits aktivt i Suricatas regler. Til at spore udl\u00f8sninger anvendes session variabler, der g\u00f8r det muligt at oprette og anvende forskellige t\u00e6llere og flags. Mange IDS betragter forskellige TCP-forbindelser som separate enheder og kan overse forbindelse mellem dem, der indikerer begyndelsen p\u00e5 et angreb. Suricata str\u00e6ber efter at se det store billede og genkender i mange tilf\u00e6lde ondsindet trafik, der er fordelt p\u00e5 forskellige forbindelser. Der kan diskuteres l\u00e6nge om dens fordele, men lad os bedre komme til installation og ops\u00e6tning.<\/p>\n

Hvordan installerer man?<\/h2>\n

\nVi vil installere Suricata p\u00e5 en virtuel server, der k\u00f8rer Ubuntu 18.04 LTS. Alle kommandoer skal udf\u00f8res som superbruger (root). Den sikreste mulighed er at oprette forbindelse til serveren via SSH som almindelig bruger og derefter anvende sudo-v\u00e6rkt\u00f8jet til at h\u00e6ve privilegierne. F\u00f8rst skal vi installere de pakker, vi f\u00e5r brug for:<\/p>\n

sudo apt -y install libpcre3 libpcre3-dev build-essential autoconf automake libtool libpcap-dev libnet1-dev libyaml-0-2 libyaml-dev zlib1g zlib1g-dev libmagic-dev libcap-ng-dev libjansson-dev pkg-config libnetfilter-queue-dev geoip-bin geoip-database geoipupdate apt-transport-https<\/code><\/pre>\n
\nTilf\u00f8j den eksterne repository:<\/p>\n
sudo add-apt-repository ppa:oisf\/suricata-stable\nsudo apt-get update<\/code><\/pre>\n
\nInstaller den nyeste stabile version af Suricata:<\/p>\n
sudo apt-get install suricata<\/code><\/pre>\n
\nOm n\u00f8dvendigt retter vi konfigurationsfilerne ved at erstatte det standardnavn, der anvendes, eth0, med det faktiske navn p\u00e5 serverens eksterne interface. Standardindstillingerne opbevares i filen \/etc\/default\/suricata, mens brugerdefinerede indstillinger findes i \/etc\/suricata\/suricata.yaml. Konfigurationen af IDS begr\u00e6nses for det meste til at redigere denne konfigurationsfil. Der er mange parametre, hvis navne og form\u00e5l svarer til dem fra Snort. Syntaksen er dog helt anderledes, men filen er meget lettere at l\u00e6se end Snorts konfigurationer, og den er ogs\u00e5 godt kommenteret.<\/p>\n
sudo nano \/etc\/default\/suricata<\/code><\/pre>\n
\n\"Snort
\n
\nog<\/p>\n
sudo nano \/etc\/suricata\/suricata.yaml<\/code><\/pre>\n
\n\"Snort
\n
\nAdvarsel! F\u00f8r opstart skal v\u00e6rdierne fra sektionen vars kontrolleres.<\/p>\n
For at afslutte konfigurationen er det n\u00f8dvendigt at installere suricata-update for at opdatere og downloade regler. Det er ret enkelt:<\/p>\n
sudo apt install python-pip\nsudo pip install pyyaml\nsudo pip install <a href="https:\/\/github.com\/OISF\/suricata-update\/archive\/master.zip">https:\/\/github.com\/OISF\/suricata-update\/archive\/master.zip<\/a>\nsudo pip install --pre --upgrade suricata-update<\/code><\/pre>\n
\nDerefter skal vi k\u00f8re kommandoen suricata-update for at installere s\u00e6tningen Emerging Threats Open regler:<\/p>\n
sudo suricata-update<\/code><\/pre>\n
\n\"Snort
\n
\nFor at se listen over regelskilder, k\u00f8rer vi f\u00f8lgende kommando:<\/p>\n
sudo suricata-update list-sources<\/code><\/pre>\n
\n\"Snort
\n
\nOpdaterer regelskilderne:<\/p>\n
sudo suricata-update update-sources<\/code><\/pre>\n
\n\"Snort
\n
\nGennemg\u00e5r de opdaterede kilder igen:<\/p>\n
sudo suricata-update list-sources<\/code><\/pre>\n
\nHvis n\u00f8dvendigt kan de tilg\u00e6ngelige gratis kilder aktiveres:<\/p>\n
sudo suricata-update enable-source ptresearch\/attackdetection\nsudo suricata-update enable-source oisf\/trafficid\nsudo suricata-update enable-source sslbl\/ssl-fp-blacklist<\/code><\/pre>\n
\nHerefter skal reglerne opdateres igen:<\/p>\n
sudo suricata-update<\/code><\/pre>\n
\nInstallation og grundl\u00e6ggende konfiguration af Suricata p\u00e5 Ubuntu 18.04 LTS kan betragtes som f\u00e6rdig. Det interessante starter nu: i n\u00e6ste artikel vil vi forbinde den virtuelle server med kontornettet via VPN og begynde at analysere al indkommende og udg\u00e5ende trafik. Der vil blive lagt s\u00e6rlig v\u00e6gt p\u00e5 at blokere DDoS-angreb, aktiviteter fra ondsindet software og fors\u00f8g p\u00e5 at udnytte s\u00e5rbarheder i tjenester, der er tilg\u00e6ngelige fra offentlige netv\u00e6rk. Der vil blive simuleret angreb af de mest almindelige typer for at v\u00e6re illustrative.<\/p>\n
\"Snort<\/a><\/noindex><\/p>\n
\"Snort<\/a><\/noindex>
\n
Kilde: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0415\u0441\u043b\u0438 \u0432\u0435\u0440\u0438\u0442\u044c \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0435, \u043e\u0431\u044a\u0435\u043c \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u043d\u0430 50% \u043a\u0430\u0436\u0434\u044b\u0439 \u0433\u043e\u0434. \u042d\u0442\u043e \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442 \u043a \u0440\u043e\u0441\u0442\u0443 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u0430 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438, \u043f\u043e\u0432\u044b\u0448\u0430\u0435\u0442 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f \u043a \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 IDS\/IPS. \u041c\u043e\u0436\u043d\u043e \u043f\u043e\u043a\u0443\u043f\u0430\u0442\u044c \u0434\u043e\u0440\u043e\u0433\u043e\u0441\u0442\u043e\u044f\u0449\u0435\u0435 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0436\u0435\u043b\u0435\u0437\u043e, \u043d\u043e \u0435\u0441\u0442\u044c \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u043f\u043e\u0434\u0435\u0448\u0435\u0432\u043b\u0435 \u2014 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435 \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u0441\u0438\u0441\u0442\u0435\u043c \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c. \u041c\u043d\u043e\u0433\u0438\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0449\u0438\u0435 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u044b \u0441\u0447\u0438\u0442\u0430\u044e\u0442, \u0431\u0443\u0434\u0442\u043e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u0438 \u0441\u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u0443\u044e IPS […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85991,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85990","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Snort eller Suricata. Del 2: installation og grundl\u00e6ggende konfiguration af Suricata | ProHoster","description":"Hvis man skal tro statistikkerne, stiger m\u00e6ngden af netv\u00e6rkstrafik med cirka 50% hvert \u00e5r. Dette medf\u00f8rer \u00f8get belastning p\u00e5 udstyret og \u00f8ger is\u00e6r kravene til ydeevnen fra IDS\/IPS.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Snort \u0438\u043b\u0438 Suricata. \u0427\u0430\u0441\u0442\u044c 2: \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u0438 \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u0430\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 Suricata | ProHoster","og:description":"\u0415\u0441\u043b\u0438 \u0432\u0435\u0440\u0438\u0442\u044c \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0435, \u043e\u0431\u044a\u0435\u043c \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u043d\u0430 50% \u043a\u0430\u0436\u0434\u044b\u0439 \u0433\u043e\u0434. \u042d\u0442\u043e \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442 \u043a \u0440\u043e\u0441\u0442\u0443 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u0430 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438, \u043f\u043e\u0432\u044b\u0448\u0430\u0435\u0442 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f \u043a \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 IDS\/IPS.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-20T23:42:12+00:00","article:modified_time":"2020-06-20T23:42:12+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85990","title":null,"description":null,"keywords":null,"keyphrases":{"focus":[],"additional":[]},"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:26:01","updated":"2026-08-11 12:50:15","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/85990","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=85990"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/85990\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/85991"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=85990"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=85990"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=85990"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}