{"id":85990,"date":"2020-06-21T01:42:12","date_gmt":"2020-06-20T23:42:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata"},"modified":"2020-06-21T01:42:12","modified_gmt":"2020-06-20T23:42:12","slug":"snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","title":{"rendered":"Snort o Suricata. Parte 2: installazione e configurazione iniziale di Suricata","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Se si crede alla statistica, il volume del traffico di rete aumenta di circa il 50% ogni anno. Ci\u00f2 comporta un aumento del carico tecnico e, in particolare, incrementa i requisiti di prestazione degli IDS\/IPS. \u00c8 possibile acquistare hardware specializzato costoso, ma c'\u00e8 un'opzione pi\u00f9 economica: l'implementazione di uno dei sistemi open source. Molti amministratori principianti ritengono che installare e configurare un IPS gratuito sia piuttosto complicato. Nel caso di Suricata, questo non \u00e8 del tutto vero: \u00e8 possibile installarla e iniziare a contrastare attacchi tipici con un set di regole gratuite in pochi minuti.<\/p>\n

\"Snort<\/a><\/noindex><\/a><\/noindex>
\nSnort ou Suricata. Parte 1: scegliamo un IDS\/IPS gratuito per proteggere la rete aziendale<\/a><\/noindex><\/p>\n

A cosa serve un altro IPS open source?<\/h2>\n

\nPer molto tempo, il sistema Snort, considerato standard, \u00e8 stato sviluppato dalla fine degli anni '90, quindi inizialmente era monothread. Negli anni, ha acquisito tutte le funzionalit\u00e0 moderne, come il supporto per IPv6, la capacit\u00e0 di analizzare i protocolli di livello applicativo o un modulo di accesso universale ai dati. <\/p>\n

Il motore base Snort 2.X ha imparato a lavorare con pi\u00f9 core, ma \u00e8 rimasto monothread e quindi non pu\u00f2 sfruttare in modo ottimale i vantaggi delle attuali piattaforme hardware. <\/p>\n

Il problema \u00e8 stato risolto nella terza versione del sistema, ma ci \u00e8 voluto cos\u00ec tanto tempo per prepararla che \u00e8 emersa sul mercato Suricata, scritta da zero. Nel 2009 \u00e8 stata sviluppata proprio come un'alternativa multithread a Snort, dotata di funzioni IPS out of the box. Il codice \u00e8 distribuito sotto licenza GPLv2, ma i partner finanziari del progetto hanno accesso a una versione chiusa del motore. Alcuni problemi di scalabilit\u00e0 nelle prime versioni del sistema si sono verificati, ma sono stati risolti piuttosto rapidamente.<\/p>\n

Perch\u00e9 Suricata?<\/h2>\n

\nIn Suricata ci sono diversi moduli (come in Snort): cattura, raccolta, decodifica, rilevamento e output. Per impostazione predefinita, il traffico catturato viene inviato alla decodifica in un unico stream, anche se questo carica di pi\u00f9 il sistema. Se necessario, gli stream possono essere divisi nelle impostazioni e distribuiti su processori diversi: Suricata \u00e8 molto ben ottimizzata per hardware specifico, anche se questo non \u00e8 pi\u00f9 a livello HOWTO per principianti. Vale anche la pena notare la presenza in Suricata di strumenti avanzati per l'ispezione HTTP basati sulla libreria HTP. Questi possono essere utilizzati anche per il logging del traffico senza rilevamento. Il sistema supporta anche la decodifica IPv6, inclusi i tunnel IPv4-in-IPv6, IPv6-in-IPv6 e altri. <\/p>\n

Per la cattura del traffico possono essere utilizzate diverse interfacce (NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING), e in modalit\u00e0 Unix Socket \u00e8 possibile analizzare automaticamente i file PCAP catturati da un altro sniffer. Inoltre, l'architettura modulare di Suricata facilita l'aggiunta di nuovi elementi per la cattura, decodifica, analisi e elaborazione dei pacchetti di rete. \u00c8 importante notare che in Suricata il blocco del traffico avviene tramite i mezzi del filtro nativo del sistema operativo. In GNU\/Linux sono disponibili due modalit\u00e0 di lavoro IPS: attraverso la coda NFQUEUE (modalit\u00e0 NFQ) e tramite zero copy (modalit\u00e0 AF_PACKET). Nel primo caso, il pacchetto che entra in iptables viene inviato alla coda NFQUEUE, dove pu\u00f2 essere elaborato a livello utente. Suricata lo esamina secondo le proprie regole e emette uno dei tre verdetti: NF_ACCEPT, NF_DROP e NF_REPEAT. I primi due non richiedono spiegazioni, mentre l'ultimo consente di etichettare i pacchetti e reinviarli all'inizio della tabella iptables attuale. La modalit\u00e0 AF_PACKET offre prestazioni pi\u00f9 elevate, ma implica una serie di limitazioni per il sistema: deve avere due interfacce di rete e funzionare come gateway. Il pacchetto bloccato semplicemente non viene inoltrato alla seconda interfaccia. <\/p>\n

Una caratteristica importante di Suricata \u00e8 la possibilit\u00e0 di utilizzare le regole di Snort. L'amministratore ha accesso, in particolare, ai set di regole Sourcefire VRT e OpenSource Emerging Threats, cos\u00ec come a Emerging Threats Pro commerciali. L'output unificato pu\u00f2 essere analizzato utilizzando backend popolari, ed \u00e8 supportato anche l'output in PCAP e Syslog. Le configurazioni di sistema e le regole sono memorizzate in file in formato YAML, che \u00e8 facilmente leggibile e pu\u00f2 essere elaborato automaticamente. Il motore di Suricata riconosce numerosi protocolli, quindi non \u00e8 necessario legare le regole a un numero di porta specifico. Inoltre, nelle regole Suricata \u00e8 attivamente praticata la concezione di flowbits. Per monitorare le attivazioni, si utilizzano variabili di sessione che consentono di creare e applicare diversi contatori e flag. Molti IDS considerano diverse connessioni TCP come entit\u00e0 separate e potrebbero non vedere il legame tra di esse, indicativo dell'inizio di un attacco. Suricata cerca di vedere il quadro complessivo e, in molti casi, riconosce il traffico malevolo distribuito su diverse connessioni. Si potrebbe discutere a lungo sui suoi vantaggi, meglio passare all'installazione e configurazione.<\/p>\n

Come installare?<\/h2>\n

\nInstalleremo Suricata su un server virtuale che esegue Ubuntu 18.04 LTS. Tutti i comandi devono essere eseguiti con i privilegi di amministratore (root). L'opzione pi\u00f9 sicura \u00e8 connettersi al server tramite SSH come utente normale, quindi utilizzare il comando sudo per aumentare i privilegi. Innanzitutto, dobbiamo installare i pacchetti necessari:<\/p>\n

sudo apt -y install libpcre3 libpcre3-dev build-essential autoconf automake libtool libpcap-dev libnet1-dev libyaml-0-2 libyaml-dev zlib1g zlib1g-dev libmagic-dev libcap-ng-dev libjansson-dev pkg-config libnetfilter-queue-dev geoip-bin geoip-database geoipupdate apt-transport-https<\/code><\/pre>\n
\nColleghiamo il repository esterno:<\/p>\n
sudo add-apt-repository ppa:oisf\/suricata-stable\nsudo apt-get update<\/code><\/pre>\n
\nInstalliamo l'ultima versione stabile di Suricata:<\/p>\n
sudo apt-get install suricata<\/code><\/pre>\n
\nSe necessario, modifichiamo i file di configurazione del nome, sostituendo l'interface eth0 predefinita con il reale nome dell'interfaccia esterna del server. Le impostazioni predefinite sono memorizzate nel file \/etc\/default\/suricata, mentre quelle personalizzate si trovano in \/etc\/suricata\/suricata.yaml. La configurazione dell'IDS \u00e8 in gran parte limitata alla modifica di questo file di configurazione. Contiene molti parametri che per nome e scopo corrispondono agli equivalenti di Snort. Tuttavia, la sintassi \u00e8 completamente diversa, ma il file \u00e8 molto pi\u00f9 facile da leggere rispetto ai file di configurazione di Snort, inoltre \u00e8 ben commentato.<\/p>\n
sudo nano \/etc\/default\/suricata<\/code><\/pre>\n
\n\"Snort
\n
\ne<\/p>\n
sudo nano \/etc\/suricata\/suricata.yaml<\/code><\/pre>\n
\n\"Snort
\n
\nAttenzione! Prima di procedere \u00e8 importante controllare i valori delle variabili nella sezione vars.<\/p>\n
Per completare la configurazione sar\u00e0 necessario installare suricata-update per aggiornare e scaricare le regole. \u00c8 abbastanza semplice:<\/p>\n
sudo apt install python-pip\nsudo pip install pyyaml\nsudo pip install <a href="https:\/\/github.com\/OISF\/suricata-update\/archive\/master.zip">https:\/\/github.com\/OISF\/suricata-update\/archive\/master.zip<\/a>\nsudo pip install --pre --upgrade suricata-update<\/code><\/pre>\n
\nDopo dobbiamo eseguire il comando suricata-update per installare il pacchetto di regole Emerging Threats Open:<\/p>\n
sudo suricata-update<\/code><\/pre>\n
\n\"Snort
\n
\nPer visualizzare l'elenco delle fonti delle regole, eseguiamo il seguente comando:<\/p>\n
sudo suricata-update list-sources<\/code><\/pre>\n
\n\"Snort
\n
\nAggiorniamo le fonti delle regole:<\/p>\n
sudo suricata-update update-sources<\/code><\/pre>\n
\n\"Snort
\n
\nControlliamo di nuovo le fonti aggiornate:<\/p>\n
sudo suricata-update list-sources<\/code><\/pre>\n
\nSe necessario, \u00e8 possibile abilitare le fonti gratuite disponibili:<\/p>\n
sudo suricata-update enable-source ptresearch\/attackdetection\nsudo suricata-update enable-source oisf\/trafficid\nsudo suricata-update enable-source sslbl\/ssl-fp-blacklist<\/code><\/pre>\n
\nDopo di che, \u00e8 necessario aggiornare di nuovo le regole:<\/p>\n
sudo suricata-update<\/code><\/pre>\n
\nA questo punto, l'installazione e la configurazione iniziale di Suricata su Ubuntu 18.04 LTS possono dirsi completate. Ora inizia la parte interessante: nel prossimo articolo collegheremo il server virtuale alla rete dell'ufficio tramite VPN e inizieremo ad analizzare tutto il traffico in entrata e in uscita. Presteremo particolare attenzione al blocco degli attacchi DDoS, all'attivit\u00e0 del malware e ai tentativi di sfruttare vulnerabilit\u00e0 nei servizi accessibili dalle reti pubbliche. Per chiarezza, simuleremo attacchi dei tipi pi\u00f9 comuni.<\/p>\n
\"Snort<\/a><\/noindex><\/p>\n
\"Snort<\/a><\/noindex>
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0415\u0441\u043b\u0438 \u0432\u0435\u0440\u0438\u0442\u044c \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0435, \u043e\u0431\u044a\u0435\u043c \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u043d\u0430 50% \u043a\u0430\u0436\u0434\u044b\u0439 \u0433\u043e\u0434. \u042d\u0442\u043e \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442 \u043a \u0440\u043e\u0441\u0442\u0443 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u0430 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438, \u043f\u043e\u0432\u044b\u0448\u0430\u0435\u0442 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f \u043a \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 IDS\/IPS. \u041c\u043e\u0436\u043d\u043e \u043f\u043e\u043a\u0443\u043f\u0430\u0442\u044c \u0434\u043e\u0440\u043e\u0433\u043e\u0441\u0442\u043e\u044f\u0449\u0435\u0435 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0436\u0435\u043b\u0435\u0437\u043e, \u043d\u043e \u0435\u0441\u0442\u044c \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u043f\u043e\u0434\u0435\u0448\u0435\u0432\u043b\u0435 \u2014 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435 \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u0441\u0438\u0441\u0442\u0435\u043c \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c. \u041c\u043d\u043e\u0433\u0438\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0449\u0438\u0435 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u044b \u0441\u0447\u0438\u0442\u0430\u044e\u0442, \u0431\u0443\u0434\u0442\u043e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u0438 \u0441\u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u0443\u044e IPS […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85991,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85990","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Snort o Suricata. Parte 2: installazione e configurazione iniziale di Suricata | ProHoster","description":"Se si crede alla statistica, il volume del traffico di rete aumenta di circa il 50% ogni anno. Questo porta a un aumento del carico sull'hardware e, in particolare, a requisiti di prestazione pi\u00f9 elevati per gli IDS\/IPS.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Snort \u0438\u043b\u0438 Suricata. \u0427\u0430\u0441\u0442\u044c 2: \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u0438 \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u0430\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 Suricata | ProHoster","og:description":"\u0415\u0441\u043b\u0438 \u0432\u0435\u0440\u0438\u0442\u044c \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0435, \u043e\u0431\u044a\u0435\u043c \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u043d\u0430 50% \u043a\u0430\u0436\u0434\u044b\u0439 \u0433\u043e\u0434. \u042d\u0442\u043e \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442 \u043a \u0440\u043e\u0441\u0442\u0443 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u0430 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438, \u043f\u043e\u0432\u044b\u0448\u0430\u0435\u0442 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f \u043a \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 IDS\/IPS.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-20T23:42:12+00:00","article:modified_time":"2020-06-20T23:42:12+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85990","title":null,"description":null,"keywords":null,"keyphrases":{"focus":[],"additional":[]},"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:26:01","updated":"2026-08-11 12:50:15","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/85990","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=85990"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/85990\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/85991"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=85990"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=85990"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=85990"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}