Snort ਜਾਂ Suricata. ਭਾਗ 2: Suricata ਦੀ ਸਥਾਪਨਾ ਅਤੇ ਸ਼ੁਰੂਆਤੀ ਸੈੱਟਅੱਪ

ਅੰਕੜਿਆਂ ਦੇ ਅਨੁਸਾਰ, ਨੈਟਵਰਕ ਟ੍ਰੈਫਿਕ ਦੀ ਮਾਤਰਾ ਹਰ ਸਾਲ ਲਗਭਗ 50% ਵਧਦੀ ਹੈ. ਇਸ ਨਾਲ ਸਾਜ਼-ਸਾਮਾਨ 'ਤੇ ਲੋਡ ਵਧਦਾ ਹੈ ਅਤੇ, ਖਾਸ ਤੌਰ 'ਤੇ, IDS / IPS ਦੀ ਕਾਰਗੁਜ਼ਾਰੀ ਦੀਆਂ ਲੋੜਾਂ ਵਧਦੀਆਂ ਹਨ। ਤੁਸੀਂ ਮਹਿੰਗੇ ਵਿਸ਼ੇਸ਼ ਹਾਰਡਵੇਅਰ ਖਰੀਦ ਸਕਦੇ ਹੋ, ਪਰ ਇੱਕ ਸਸਤਾ ਵਿਕਲਪ ਹੈ - ਇੱਕ ਓਪਨ ਸੋਰਸ ਸਿਸਟਮ ਦੀ ਸ਼ੁਰੂਆਤ। ਬਹੁਤ ਸਾਰੇ ਨਵੇਂ ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੂੰ ਮੁਫਤ IPS ਨੂੰ ਸਥਾਪਤ ਕਰਨਾ ਅਤੇ ਕੌਂਫਿਗਰ ਕਰਨਾ ਮੁਸ਼ਕਲ ਲੱਗਦਾ ਹੈ। ਸੂਰੀਕਾਟਾ ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਇਹ ਪੂਰੀ ਤਰ੍ਹਾਂ ਸੱਚ ਨਹੀਂ ਹੈ - ਤੁਸੀਂ ਇਸਨੂੰ ਸਥਾਪਤ ਕਰ ਸਕਦੇ ਹੋ ਅਤੇ ਕੁਝ ਮਿੰਟਾਂ ਵਿੱਚ ਮੁਫਤ ਨਿਯਮਾਂ ਦੇ ਸੈੱਟ ਨਾਲ ਆਮ ਹਮਲਿਆਂ ਨੂੰ ਦੂਰ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰ ਸਕਦੇ ਹੋ।

Snort ਜਾਂ Suricata. ਭਾਗ 1: ਆਪਣੇ ਕਾਰਪੋਰੇਟ ਨੈੱਟਵਰਕ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖਣ ਲਈ ਇੱਕ ਮੁਫ਼ਤ IDS/IPS ਚੁਣਨਾ

ਸਾਨੂੰ ਇੱਕ ਹੋਰ ਓਪਨ ਆਈਪੀਐਸ ਦੀ ਲੋੜ ਕਿਉਂ ਹੈ?

ਲੰਬੇ ਸਮੇਂ ਤੋਂ ਮਿਆਰੀ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ, ਸਨੌਰਟ ਨੱਬੇ ਦੇ ਦਹਾਕੇ ਦੇ ਅਖੀਰ ਤੋਂ ਵਿਕਾਸ ਵਿੱਚ ਹੈ, ਇਸਲਈ ਇਹ ਅਸਲ ਵਿੱਚ ਸਿੰਗਲ-ਥਰਿੱਡਡ ਸੀ। ਸਾਲਾਂ ਦੌਰਾਨ, ਸਾਰੀਆਂ ਆਧੁਨਿਕ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਇਸ ਵਿੱਚ ਪ੍ਰਗਟ ਹੋਈਆਂ ਹਨ, ਜਿਵੇਂ ਕਿ IPv6 ਸਹਾਇਤਾ, ਐਪਲੀਕੇਸ਼ਨ-ਪੱਧਰ ਦੇ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਦੀ ਯੋਗਤਾ, ਜਾਂ ਇੱਕ ਯੂਨੀਵਰਸਲ ਡਾਟਾ ਐਕਸੈਸ ਮੋਡੀਊਲ।

ਕੋਰ Snort 2.X ਇੰਜਣ ਨੇ ਮਲਟੀਪਲ ਕੋਰਾਂ ਨਾਲ ਕੰਮ ਕਰਨਾ ਸਿੱਖ ਲਿਆ ਹੈ, ਪਰ ਇਹ ਸਿੰਗਲ-ਥਰਿੱਡਡ ਰਿਹਾ ਹੈ ਅਤੇ ਇਸਲਈ ਆਧੁਨਿਕ ਹਾਰਡਵੇਅਰ ਪਲੇਟਫਾਰਮਾਂ ਦਾ ਵਧੀਆ ਲਾਭ ਨਹੀਂ ਲੈ ਸਕਦਾ ਹੈ।

ਸਿਸਟਮ ਦੇ ਤੀਜੇ ਸੰਸਕਰਣ ਵਿੱਚ ਸਮੱਸਿਆ ਦਾ ਹੱਲ ਹੋ ਗਿਆ ਸੀ, ਪਰ ਇਸਨੂੰ ਤਿਆਰ ਕਰਨ ਵਿੱਚ ਇੰਨਾ ਸਮਾਂ ਲੱਗਿਆ ਕਿ ਸਕ੍ਰੈਚ ਤੋਂ ਲਿਖਿਆ ਗਿਆ ਸੂਰੀਕਾਟਾ, ਮਾਰਕੀਟ ਵਿੱਚ ਆਉਣ ਵਿੱਚ ਕਾਮਯਾਬ ਹੋ ਗਿਆ। 2009 ਵਿੱਚ, ਇਸ ਨੂੰ ਸਨੌਰਟ ਦੇ ਇੱਕ ਬਹੁ-ਥ੍ਰੈੱਡਡ ਵਿਕਲਪ ਵਜੋਂ ਬਿਲਕੁਲ ਵਿਕਸਤ ਕੀਤਾ ਜਾਣਾ ਸ਼ੁਰੂ ਹੋਇਆ, ਜਿਸ ਵਿੱਚ ਆਈਪੀਐਸ ਫੰਕਸ਼ਨ ਬਾਕਸ ਤੋਂ ਬਾਹਰ ਹਨ। ਕੋਡ ਨੂੰ GPLv2 ਲਾਇਸੰਸ ਦੇ ਤਹਿਤ ਵੰਡਿਆ ਗਿਆ ਹੈ, ਪਰ ਪ੍ਰੋਜੈਕਟ ਦੇ ਵਿੱਤੀ ਭਾਈਵਾਲਾਂ ਕੋਲ ਇੰਜਣ ਦੇ ਬੰਦ ਸੰਸਕਰਣ ਤੱਕ ਪਹੁੰਚ ਹੈ। ਸਿਸਟਮ ਦੇ ਪਹਿਲੇ ਸੰਸਕਰਣਾਂ ਵਿੱਚ ਕੁਝ ਮਾਪਯੋਗਤਾ ਸਮੱਸਿਆਵਾਂ ਪੈਦਾ ਹੋਈਆਂ, ਪਰ ਉਹਨਾਂ ਨੂੰ ਜਲਦੀ ਹੱਲ ਕੀਤਾ ਗਿਆ।

ਸੁਰਿਕਾ ਕਿਉਂ?

Suricata ਦੇ ਕਈ ਮਾਡਿਊਲ ਹਨ (Snort ਦੇ ਸਮਾਨ): ਕੈਪਚਰ, ਕੈਪਚਰ, ਡੀਕੋਡ, ਖੋਜ ਅਤੇ ਆਉਟਪੁੱਟ। ਮੂਲ ਰੂਪ ਵਿੱਚ, ਕੈਪਚਰ ਕੀਤਾ ਟ੍ਰੈਫਿਕ ਇੱਕ ਸਟ੍ਰੀਮ ਵਿੱਚ ਡੀਕੋਡ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਦਾ ਹੈ, ਹਾਲਾਂਕਿ ਇਹ ਸਿਸਟਮ ਨੂੰ ਹੋਰ ਲੋਡ ਕਰਦਾ ਹੈ। ਜੇ ਜਰੂਰੀ ਹੋਵੇ, ਤਾਂ ਥਰਿੱਡਾਂ ਨੂੰ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਵੰਡਿਆ ਜਾ ਸਕਦਾ ਹੈ ਅਤੇ ਪ੍ਰੋਸੈਸਰਾਂ ਵਿੱਚ ਵੰਡਿਆ ਜਾ ਸਕਦਾ ਹੈ - Suricata ਖਾਸ ਹਾਰਡਵੇਅਰ ਲਈ ਬਹੁਤ ਵਧੀਆ ਢੰਗ ਨਾਲ ਅਨੁਕੂਲਿਤ ਹੈ, ਹਾਲਾਂਕਿ ਇਹ ਹੁਣ ਸ਼ੁਰੂਆਤ ਕਰਨ ਵਾਲਿਆਂ ਲਈ HOWTO ਪੱਧਰ ਨਹੀਂ ਹੈ। ਇਹ ਵੀ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ Suricata ਕੋਲ HTP ਲਾਇਬ੍ਰੇਰੀ 'ਤੇ ਅਧਾਰਤ ਐਡਵਾਂਸ HTTP ਨਿਰੀਖਣ ਟੂਲ ਹਨ। ਉਹਨਾਂ ਦੀ ਵਰਤੋਂ ਬਿਨਾਂ ਪਛਾਣ ਕੀਤੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਲੌਗ ਕਰਨ ਲਈ ਵੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਸਿਸਟਮ IPv6 ਡੀਕੋਡਿੰਗ ਦਾ ਵੀ ਸਮਰਥਨ ਕਰਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ IPv4-in-IPv6 ਸੁਰੰਗਾਂ, IPv6-in-IPv6 ਸੁਰੰਗਾਂ, ਅਤੇ ਹੋਰ ਬਹੁਤ ਕੁਝ ਸ਼ਾਮਲ ਹੈ।

ਟ੍ਰੈਫਿਕ (NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING) ਨੂੰ ਰੋਕਣ ਲਈ ਵੱਖ-ਵੱਖ ਇੰਟਰਫੇਸਾਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਅਤੇ ਯੂਨਿਕਸ ਸਾਕਟ ਮੋਡ ਵਿੱਚ, ਤੁਸੀਂ ਕਿਸੇ ਹੋਰ ਸਨਿਫਰ ਦੁਆਰਾ ਕੈਪਚਰ ਕੀਤੀਆਂ PCAP ਫਾਈਲਾਂ ਦਾ ਆਪਣੇ ਆਪ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰ ਸਕਦੇ ਹੋ। ਇਸ ਤੋਂ ਇਲਾਵਾ, Suricata ਦਾ ਮਾਡਿਊਲਰ ਆਰਕੀਟੈਕਚਰ ਨੈੱਟਵਰਕ ਪੈਕੇਟਾਂ ਨੂੰ ਕੈਪਚਰ ਕਰਨ, ਡੀਕੋਡ ਕਰਨ, ਪਾਰਸ ਕਰਨ ਅਤੇ ਪ੍ਰਕਿਰਿਆ ਕਰਨ ਲਈ ਨਵੇਂ ਤੱਤਾਂ ਨੂੰ ਜੋੜਨਾ ਆਸਾਨ ਬਣਾਉਂਦਾ ਹੈ। ਇਹ ਨੋਟ ਕਰਨਾ ਵੀ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿ ਸੂਰੀਕਾਟਾ ਵਿੱਚ, ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਦੇ ਨਿਯਮਤ ਫਿਲਟਰ ਦੁਆਰਾ ਆਵਾਜਾਈ ਨੂੰ ਬਲੌਕ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। GNU/Linux ਕੋਲ IPS ਦੇ ਕੰਮ ਕਰਨ ਦੇ ਦੋ ਵਿਕਲਪ ਹਨ: NFQUEUE ਕਤਾਰ (NFQ ਮੋਡ) ਰਾਹੀਂ ਅਤੇ ਜ਼ੀਰੋ ਕਾਪੀ (AF_PACKET ਮੋਡ) ਰਾਹੀਂ। ਪਹਿਲੇ ਕੇਸ ਵਿੱਚ, iptables ਵਿੱਚ ਦਾਖਲ ਹੋਣ ਵਾਲੇ ਪੈਕੇਟ ਨੂੰ NFQUEUE ਕਤਾਰ ਵਿੱਚ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ, ਜਿੱਥੇ ਇਸਨੂੰ ਉਪਭੋਗਤਾ ਪੱਧਰ 'ਤੇ ਸੰਸਾਧਿਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। Suricata ਇਸਨੂੰ ਆਪਣੇ ਨਿਯਮਾਂ ਅਨੁਸਾਰ ਚਲਾਉਂਦਾ ਹੈ ਅਤੇ ਤਿੰਨ ਵਿੱਚੋਂ ਇੱਕ ਫੈਸਲੇ ਜਾਰੀ ਕਰਦਾ ਹੈ: NF_ACCEPT, NF_DROP ਅਤੇ NF_REPEAT। ਪਹਿਲੇ ਦੋ ਸਵੈ-ਵਿਆਖਿਆਤਮਕ ਹਨ, ਜਦੋਂ ਕਿ ਆਖਰੀ ਪੈਕੇਟਾਂ ਨੂੰ ਟੈਗ ਕਰਨ ਅਤੇ ਮੌਜੂਦਾ iptables ਟੇਬਲ ਦੇ ਸਿਖਰ 'ਤੇ ਭੇਜਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। AF_PACKET ਮੋਡ ਤੇਜ਼ ਹੈ, ਪਰ ਇਹ ਸਿਸਟਮ 'ਤੇ ਕਈ ਪਾਬੰਦੀਆਂ ਲਾਉਂਦਾ ਹੈ: ਇਸ ਵਿੱਚ ਦੋ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ ਅਤੇ ਇੱਕ ਗੇਟਵੇ ਵਜੋਂ ਕੰਮ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਬਲੌਕ ਕੀਤੇ ਪੈਕੇਟ ਨੂੰ ਸਿਰਫ਼ ਦੂਜੇ ਇੰਟਰਫੇਸ ਨੂੰ ਅੱਗੇ ਨਹੀਂ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ।

Suricata ਦੀ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਵਿਸ਼ੇਸ਼ਤਾ Snort ਲਈ ਵਿਕਾਸ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਮਰੱਥਾ ਹੈ. ਪ੍ਰਸ਼ਾਸਕ ਦੀ ਪਹੁੰਚ ਹੈ, ਖਾਸ ਤੌਰ 'ਤੇ, ਸੋਰਸਫਾਇਰ VRT ਅਤੇ ਓਪਨਸੋਰਸ ਐਮਰਜਿੰਗ ਥ੍ਰੀਟਸ ਨਿਯਮ ਸੈੱਟਾਂ ਦੇ ਨਾਲ-ਨਾਲ ਵਪਾਰਕ ਉਭਰ ਰਹੇ ਧਮਕੀਆਂ ਪ੍ਰੋ ਤੱਕ। ਯੂਨੀਫਾਈਡ ਆਉਟਪੁੱਟ ਨੂੰ ਪ੍ਰਸਿੱਧ ਬੈਕਐਂਡ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪਾਰਸ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, PCAP ਅਤੇ Syslog ਆਉਟਪੁੱਟ ਵੀ ਸਮਰਥਿਤ ਹੈ। ਸਿਸਟਮ ਸੈਟਿੰਗਾਂ ਅਤੇ ਨਿਯਮਾਂ ਨੂੰ YAML ਫਾਈਲਾਂ ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਪੜ੍ਹਨ ਵਿੱਚ ਆਸਾਨ ਹੁੰਦੀਆਂ ਹਨ ਅਤੇ ਆਟੋਮੈਟਿਕਲੀ ਪ੍ਰੋਸੈਸ ਕੀਤੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ। ਸੂਰੀਕਾਟਾ ਇੰਜਣ ਬਹੁਤ ਸਾਰੇ ਪ੍ਰੋਟੋਕੋਲਾਂ ਨੂੰ ਪਛਾਣਦਾ ਹੈ, ਇਸ ਲਈ ਨਿਯਮਾਂ ਨੂੰ ਪੋਰਟ ਨੰਬਰ ਨਾਲ ਜੋੜਨ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਸੁਰੀਕਾਟਾ ਦੇ ਨਿਯਮਾਂ ਵਿੱਚ ਫਲੋਬਿਟ ਦੀ ਧਾਰਨਾ ਸਰਗਰਮੀ ਨਾਲ ਅਭਿਆਸ ਕੀਤੀ ਜਾਂਦੀ ਹੈ. ਟਰਿੱਗਰ ਨੂੰ ਟ੍ਰੈਕ ਕਰਨ ਲਈ, ਸੈਸ਼ਨ ਵੇਰੀਏਬਲ ਦੀ ਵਰਤੋਂ ਵੱਖ-ਵੱਖ ਕਾਊਂਟਰਾਂ ਅਤੇ ਫਲੈਗਾਂ ਨੂੰ ਬਣਾਉਣ ਅਤੇ ਲਾਗੂ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਬਹੁਤ ਸਾਰੇ IDS ਵੱਖ-ਵੱਖ TCP ਕਨੈਕਸ਼ਨਾਂ ਨੂੰ ਵੱਖਰੀਆਂ ਸੰਸਥਾਵਾਂ ਮੰਨਦੇ ਹਨ ਅਤੇ ਹੋ ਸਕਦਾ ਹੈ ਕਿ ਉਹਨਾਂ ਵਿਚਕਾਰ ਕੋਈ ਅਜਿਹਾ ਕੁਨੈਕਸ਼ਨ ਨਾ ਦਿਖੇ ਜੋ ਹਮਲੇ ਦੀ ਸ਼ੁਰੂਆਤ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ। ਸੂਰੀਕਾਟਾ ਪੂਰੀ ਤਸਵੀਰ ਦੇਖਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ ਅਤੇ ਕਈ ਮਾਮਲਿਆਂ ਵਿੱਚ ਵੱਖ-ਵੱਖ ਕਨੈਕਸ਼ਨਾਂ 'ਤੇ ਵੰਡੇ ਗਏ ਖਤਰਨਾਕ ਟ੍ਰੈਫਿਕ ਨੂੰ ਪਛਾਣਦਾ ਹੈ। ਤੁਸੀਂ ਲੰਬੇ ਸਮੇਂ ਲਈ ਇਸਦੇ ਫਾਇਦਿਆਂ ਬਾਰੇ ਗੱਲ ਕਰ ਸਕਦੇ ਹੋ, ਅਸੀਂ ਬਿਹਤਰ ਇੰਸਟਾਲੇਸ਼ਨ ਅਤੇ ਸੰਰਚਨਾ ਵੱਲ ਵਧਦੇ ਹਾਂ।

ਕਿਵੇਂ ਇੰਸਟਾਲ ਕਰਨਾ ਹੈ?

ਅਸੀਂ Ubuntu 18.04 LTS 'ਤੇ ਚੱਲ ਰਹੇ ਵਰਚੁਅਲ ਸਰਵਰ 'ਤੇ Suricata ਨੂੰ ਇੰਸਟਾਲ ਕਰਾਂਗੇ। ਸਾਰੀਆਂ ਕਮਾਂਡਾਂ ਸੁਪਰਯੂਜ਼ਰ (ਰੂਟ) ਦੀ ਤਰਫੋਂ ਲਾਗੂ ਕੀਤੀਆਂ ਜਾਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ। ਸਭ ਤੋਂ ਸੁਰੱਖਿਅਤ ਵਿਕਲਪ ਇੱਕ ਆਮ ਉਪਭੋਗਤਾ ਵਜੋਂ ਸਰਵਰ ਵਿੱਚ SSH ਕਰਨਾ ਹੈ ਅਤੇ ਫਿਰ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਉੱਚਾ ਚੁੱਕਣ ਲਈ sudo ਉਪਯੋਗਤਾ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਹੈ। ਪਹਿਲਾਂ ਤੁਹਾਨੂੰ ਉਹਨਾਂ ਪੈਕੇਜਾਂ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ ਜਿਨ੍ਹਾਂ ਦੀ ਸਾਨੂੰ ਲੋੜ ਹੈ:

sudo apt -y install libpcre3 libpcre3-dev build-essential autoconf automake libtool libpcap-dev libnet1-dev libyaml-0-2 libyaml-dev zlib1g zlib1g-dev libmagic-dev libcap-ng-dev libjansson-dev pkg-config libnetfilter-queue-dev geoip-bin geoip-database geoipupdate apt-transport-https

ਇੱਕ ਬਾਹਰੀ ਰਿਪੋਜ਼ਟਰੀ ਨੂੰ ਜੋੜਨਾ:

sudo add-apt-repository ppa:oisf/suricata-stable
sudo apt-get update

Suricata ਦਾ ਨਵੀਨਤਮ ਸਥਿਰ ਸੰਸਕਰਣ ਸਥਾਪਿਤ ਕਰੋ:

sudo apt-get install suricata

ਜੇ ਜਰੂਰੀ ਹੋਵੇ, ਤਾਂ ਸਰਵਰ ਦੇ ਬਾਹਰੀ ਇੰਟਰਫੇਸ ਦੇ ਅਸਲ ਨਾਮ ਨਾਲ ਡਿਫਾਲਟ eth0 ਨੂੰ ਬਦਲ ਕੇ, ਸੰਰਚਨਾ ਫਾਈਲਾਂ ਦੇ ਨਾਮ ਨੂੰ ਸੋਧੋ। ਪੂਰਵ-ਨਿਰਧਾਰਤ ਸੈਟਿੰਗਾਂ /etc/default/suricata ਫਾਈਲ ਵਿੱਚ ਸਟੋਰ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਅਤੇ ਕਸਟਮ ਸੈਟਿੰਗਾਂ /etc/suricata/suricata.yaml ਵਿੱਚ ਸਟੋਰ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। IDS ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨਾ ਜਿਆਦਾਤਰ ਇਸ ਸੰਰਚਨਾ ਫਾਈਲ ਨੂੰ ਸੰਪਾਦਿਤ ਕਰਨ ਤੱਕ ਸੀਮਿਤ ਹੈ। ਇਸ ਵਿੱਚ ਬਹੁਤ ਸਾਰੇ ਮਾਪਦੰਡ ਹਨ ਜੋ, ਨਾਮ ਅਤੇ ਉਦੇਸ਼ ਦੁਆਰਾ, ਸਨੌਰਟ ਦੇ ਐਨਾਲਾਗ ਨਾਲ ਮੇਲ ਖਾਂਦੇ ਹਨ। ਸੰਟੈਕਸ ਕਾਫ਼ੀ ਵੱਖਰਾ ਹੈ, ਹਾਲਾਂਕਿ, ਪਰ ਫਾਈਲ ਨੂੰ Snort ਸੰਰਚਨਾਵਾਂ ਨਾਲੋਂ ਪੜ੍ਹਨਾ ਬਹੁਤ ਸੌਖਾ ਹੈ, ਅਤੇ ਚੰਗੀ ਤਰ੍ਹਾਂ ਟਿੱਪਣੀ ਕੀਤੀ ਗਈ ਹੈ।

sudo nano /etc/default/suricata

и

sudo nano /etc/suricata/suricata.yaml

ਧਿਆਨ ਦਿਓ! ਸ਼ੁਰੂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ, ਇਹ vars ਭਾਗ ਤੋਂ ਵੇਰੀਏਬਲਾਂ ਦੇ ਮੁੱਲਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਦੇ ਯੋਗ ਹੈ.

ਸੈੱਟਅੱਪ ਨੂੰ ਪੂਰਾ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ ਨਿਯਮਾਂ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਅਤੇ ਲੋਡ ਕਰਨ ਲਈ suricata-update ਨੂੰ ਸਥਾਪਤ ਕਰਨ ਦੀ ਲੋੜ ਹੋਵੇਗੀ। ਇਹ ਕਰਨਾ ਬਹੁਤ ਆਸਾਨ ਹੈ:

sudo apt install python-pip
sudo pip install pyyaml
sudo pip install <a href="https://github.com/OISF/suricata-update/archive/master.zip">https://github.com/OISF/suricata-update/archive/master.zip</a>
sudo pip install --pre --upgrade suricata-update

ਅੱਗੇ, ਸਾਨੂੰ ਐਮਰਜਿੰਗ ਥਰੇਟਸ ਓਪਨ ਨਿਯਮ ਸੈੱਟ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਲਈ suricata-update ਕਮਾਂਡ ਚਲਾਉਣ ਦੀ ਲੋੜ ਹੈ:

sudo suricata-update

ਨਿਯਮ ਸਰੋਤਾਂ ਦੀ ਸੂਚੀ ਵੇਖਣ ਲਈ, ਹੇਠ ਦਿੱਤੀ ਕਮਾਂਡ ਚਲਾਓ:

sudo suricata-update list-sources

ਨਿਯਮ ਸਰੋਤ ਅੱਪਡੇਟ ਕਰੋ:

sudo suricata-update update-sources

ਅੱਪਡੇਟ ਕੀਤੇ ਸਰੋਤਾਂ 'ਤੇ ਮੁੜ ਵਿਚਾਰ ਕਰਨਾ:

sudo suricata-update list-sources

ਜੇ ਜਰੂਰੀ ਹੋਵੇ, ਤਾਂ ਤੁਸੀਂ ਉਪਲਬਧ ਮੁਫਤ ਸਰੋਤਾਂ ਨੂੰ ਸ਼ਾਮਲ ਕਰ ਸਕਦੇ ਹੋ:

sudo suricata-update enable-source ptresearch/attackdetection
sudo suricata-update enable-source oisf/trafficid
sudo suricata-update enable-source sslbl/ssl-fp-blacklist

ਉਸ ਤੋਂ ਬਾਅਦ, ਤੁਹਾਨੂੰ ਨਿਯਮਾਂ ਨੂੰ ਦੁਬਾਰਾ ਅਪਡੇਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ:

sudo suricata-update

ਇਹ Ubuntu 18.04 LTS ਵਿੱਚ Suricata ਦੀ ਸਥਾਪਨਾ ਅਤੇ ਸ਼ੁਰੂਆਤੀ ਸੰਰਚਨਾ ਨੂੰ ਪੂਰਾ ਕਰਦਾ ਹੈ। ਫਿਰ ਮਜ਼ੇਦਾਰ ਸ਼ੁਰੂਆਤ ਹੁੰਦੀ ਹੈ: ਅਗਲੇ ਲੇਖ ਵਿੱਚ, ਅਸੀਂ VPN ਰਾਹੀਂ ਇੱਕ ਵਰਚੁਅਲ ਸਰਵਰ ਨੂੰ ਆਫਿਸ ਨੈਟਵਰਕ ਨਾਲ ਕਨੈਕਟ ਕਰਾਂਗੇ ਅਤੇ ਆਉਣ ਵਾਲੇ ਅਤੇ ਜਾਣ ਵਾਲੇ ਸਾਰੇ ਟ੍ਰੈਫਿਕ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰਾਂਗੇ। ਅਸੀਂ DDoS ਹਮਲਿਆਂ, ਮਾਲਵੇਅਰ ਗਤੀਵਿਧੀ ਅਤੇ ਜਨਤਕ ਨੈਟਵਰਕਾਂ ਤੋਂ ਪਹੁੰਚਯੋਗ ਸੇਵਾਵਾਂ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਦੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਨੂੰ ਰੋਕਣ ਲਈ ਵਿਸ਼ੇਸ਼ ਧਿਆਨ ਦੇਵਾਂਗੇ। ਸਪਸ਼ਟਤਾ ਲਈ, ਸਭ ਤੋਂ ਆਮ ਕਿਸਮਾਂ ਦੇ ਹਮਲੇ ਸਿਮੂਲੇਟ ਕੀਤੇ ਜਾਣਗੇ।

ਸਰੋਤ: www.habr.com