搜索

[24698] 2016-02-08_如何在Linux系统上安装Suricata入侵检测系统

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2016-02-08_如何在Linux系统上安装Suricata入侵检测系统 如 何 在   L i n u x   系 统 上 安 装   S u r i c a t a   入 侵 检 测 系 统 译 者 ： m r - p i n g   L i n u x 中 国   2 0 1 6 - 0 2 - 0 8 随 着 安 全 威 胁 的 不 断 发 生 ， 入 侵 检 测 系 统 （ I D S ） 在 如 今 的 数 据 中 心 环 境 中 显 得 尤 为 必 要 。 然 而 ， 随 着 越 来 越 多 的 服 务 器 将 他 们 的 网 卡 升 级 到 1 0 G B / 4 0 G B 以 太 网 ， 对 如 此 线 路 上 的 硬 件 进 行 计 算 密 集 型 的 入 侵 检 测 越 来 越 困 难 。 其 中 一 种 提 升 入 侵 检 测 系 统 性 能 的 途 径 是 多 线 程 入 侵 检 测 系 统 多 线 程 入 侵 检 测 系 统 ， 它 将   C P U   密 集 型 的 深 度 包 检 测 工 作 并 行 的 分 配 给 多 个 并 发 任 务 来 完 成 。 这 样 的 并 行 检 测 可 以 充 分 利 用 多 核 硬 件 的 优 势 来 轻 松 提 升 入 侵 检 测 系 统 的 吞 吐 量 。 在 这 方 面 有 两 个 知 名 的 开 源 项 目 ， 分 别 是 S u r i c a t a [ 1 ]   和   B r o [ 2 ] 。 这 个 教 程 里 ， 我 会 向 大 家 演 示 如 何 在 如 何 在   L i n u x   服 务 器 上 安 装 和 配 置 服 务 器 上 安 装 和 配 置   S u r i c a t a   入 侵 检 测 系 统 。 入 侵 检 测 系 统 。 在 在   L i n u x   上 安 装 上 安 装   S u r i c a t a   I D S 让 我 们 从 源 文 件 来 构 建   S u r i c a t a ， 但 在 此 之 前 ， 需 要 按 如 下 所 示 先 安 装 几 个 依 赖 包 。 在 在   D e b i a n ,   U b u n t u   或 者 或 者   L i n u x   M i n t   操 作 系 统 上 安 装 依 赖 包 操 作 系 统 上 安 装 依 赖 包 在 在   C e n t O S ,   F e d o r a   或 者 或 者   R H E L   操 作 系 统 上 安 装 依 赖 包 操 作 系 统 上 安 装 依 赖 包 一 旦 将 所 有 依 赖 包 安 装 完 毕 ， 我 们 就 可 以 继 续 安 装   S u r i c a t a   了 。 首 先 从   h t t p : / / s u r i c a t a - i d s . o r g / d o w n l o a d /   下 载   S u r i c a t a   源 代 码 ， 然 后 构 建 它 。 撰 写 这 篇 文 章 的 时 候 ， 其 最 新 版 本 号 为   2 . 0 . 8   。 以 下 是 配 置 信 息 的 样 例 。 1 1 .   1 .   $   s u d o   a p t - g e t   i n s t a l l   w g e t   b u i l d - e s s e n t i a l   l i b p c r e 3 - d e v   l i b p c r e 3 - d b g   a u t o m a k e   a u t o c o n f   l i b t o o l   l i b p c a p - d e v   l i b n e t 1 - d e v   l i b y a m l - d e v   z l i b 1 g - d e v   l i b c a p - n g - d e v   l i b j a n s s o n 1 .   $   s u d o   y u m   i n s t a l l   w g e t   l i b p c a p - d e v e l   l i b n e t - d e v e l   p c r e - d e v e l   g c c - c + +   a u t o m a k e   a u t o c o n f   l i b t o o l   m a k e   l i b y a m l - d e v e l   z l i b - d e v e l   f i l e - d e v e l   j a n s s o n - d e v e l   n s s - d e v e l 1 .   $   w g e t   h t t p : / / w w w . o p e n i n f o s e c f o u n d a t i o n . o r g / d o w n l o a d / s u r i c a t a - 2 . 0 . 8 . t a r . g z 2 .   $   t a r   - x v f   s u r i c a t a - 2 . 0 . 8 . t a r . g z 3 .   $   c d   s u r i c a t a - 2 . 0 . 8 4 .   $   . / c o n f i g u r e   - - s y s c o n f d i r = / e t c   - - l o c a l s t a t e d i r = / v a r 1 .   S u r i c a t a   C o n f i g u r a t i o n : 2 .       A F _ P A C K E T   s u p p o r t :                                               y e s 3 .       P F _ R I N G   s u p p o r t :                                                   n o 4 .       N F Q u e u e   s u p p o r t :                                                   n o 5 .       N F L O G   s u p p o r t :                                                       n o 6 .       I P F W   s u p p o r t :                                                         n o 7 .       D A G   e n a b l e d :                                                           n o 8 .       N a p a t e c h   e n a b l e d :                                                 n o 9 .       U n i x   s o c k e t   e n a b l e d :                                           y e s 1 0 .       D e t e c t i o n   e n a b l e d :                                               y e s 1 2 .       l i b n s s   s u p p o r t :                                                     y e s 1 3 .       l i b n s p r   s u p p o r t :                                                   y e s
现 在 可 以 编 译 、 安 装 了 。 S u r i c a t a   源 代 码 带 有 默 认 的 配 置 文 件 。 按 照 如 下 方 法 安 装 这 些 默 认 配 置 文 件 即 可 。 正 如 你 所 料 ， 如 果 没 有 I D S 规 则 集 的 话 ， S u r i c a t a   什 么 用 也 没 有 。 幸 好   M a k e f i l e   为 我 们 提 供 了   I D S   规 则 集 的 安 装 选 项 。 安 装 方 法 如 下 。 以 上 的 规 则 安 装 命 令 会 从   E m e r g i n g T h r e a t s . n e t [ 3 ]   上 下 载 可 用 的 社 区 规 则 集 快 照 ， 并 且 将 其 存 储 在   / e t c / s u r i c a t a / r u l e s   目 录 下 。 首 次 配 置 首 次 配 置   S u r i c a t a   I D S 现 在 到 了 配 置   S u r i c a t a   的 时 候 了 。 配 置 文 件 的 位 置 是   / e t c / s u r i c a t a / s u r i c a t a . y a m l 。 参 照 以 下 命 令 ， 用 文 本 编 辑 器 打 开 这 个 文 件 。 文 件 中 有 一 些 运 行 所 需 的 基 本 配 置 。 为 关 键 字 指 定   S u r i c a t a   日 志 文 件 所 在 的 位 置 。 在 部 分 下 方 ， 你 会 发 现 几 项 对   S u r i c a t a   来 说 很 重 要 变 量 。 变 量 需 要 指 定   S u r i c a t a   检 查 的 网 络 。 被 分 配 给   1 4 .       l i b j a n s s o n   s u p p o r t :                                             y e s 1 5 .       P r e l u d e   s u p p o r t :                                                   n o 1 6 .       P C R E   j i t :                                                                 y e s 1 7 .       L U A   s u p p o r t :                                                           n o 1 8 .       l i b l u a j i t :                                                               n o 1 9 .       l i b g e o i p :                                                                 n o 2 0 .       N o n - b u n d l e d   h t p :                                                   n o 2 1 .       O l d   b a r n y a r d 2   s u p p o r t :                                       n o 2 2 .       C U D A   e n a b l e d :                                                         n o 1 .   $   m a k e 2 .   $   s u d o   m a k e   i n s t a l l 1 .   $   s u d o   m a k e   i n s t a l l - c o n f 1 .   $   s u d o   m a k e   i n s t a l l - r u l e s 1 .   $   s u d o   v i   / e t c / s u r i c a t a / s u r i c a t a . y a m l d e f a u l t - l o g - d i r 1 .   d e f a u l t - l o g - d i r :   / v a r / l o g / s u r i c a t a / v a r s H O M E _ N E T E X T E R N A L _ N E T
  变 量 的     代 表 除 本 地 网 络 之 外 的 其 他 网 络 。 变 量 用 来 辨 别 不 同 服 务 所 用 到 的 端 口 号 。 需 要 注 意 的 是 无 论 使 用 什 么 端 口 ， S u r i c a t a   都 可 以 自 动 检 测   H T T P   流 量 。 所 以 是 不 是 正 确 指 定 端 口 就 显 得 没 那 么 重 要 了 。   部 分 用 于 防 御 利 用 操 作 系 统 网 络 栈 的 自 身 行 为 来 逃 避 检 测 的 一 些 知 名 攻 击 手 段 （ 例 如 ： T C P   r e a s s e m b l y ） 。 作 为 对 策 ， 通 过 针 对 目 标 操 作 系 统 而 对 检 测 引 擎 算 法 进 行 微 调 ， 现 代   I D C   提 供 了 “ 基 于 目 标 ” 的 检 测 手 段 。 因 此 ， 如 果 你 知 道 某 台 主 机 运 行 了 什 么 操 作 系 统 的 话 ， 将 这 个 信 息 提 供 给   S u r i c a t a   就 可 以 大 幅 提 高 检 测 的 成 功 率 。 这 就 是   存 在 的 意 义 。 本 例 中 ， 默 认 的   I D C   策 略 是   L i n u x   系 统 。 如 果 针 对 某 个   I P   地 址 没 有 指 定 操 作 系 统 信 息 ， S u r i c a t a   会 默 认 应 用 基 于   L i n u x   系 统 的 检 测 策 略 。 如 下 ， 当 捕 获 到 对   1 9 2 . 1 6 8 . 1 2 2 . 0 / 2 8   和   1 9 2 . 1 6 8 . 1 2 2 . 1 5 5 通 讯 时 ， S u r i c a t a   就 会 应 用 基 于   W i n d o w s   系 统 的 检 测 策 略 。 在     部 分 下 ， 你 可 以 为 不 同 的   S u r i c a t a   线 程 指 定   C P U   关 联 。 默 认 状 态 下 ， C P U   关 联 [ 4 ]   是 被 禁 止 使 用 的   ( ) ， 这 意 味 着   S u r i c a t a   会 分 配 其 线 程 到 所 有 可 用 的   C P U   核 心 上 。 S u r i c a t a   会 默 认 为 每 一 个   C P U   核 心 创 建 一 个 检 测 线 程 。 你 可 以 通 过 指 定     来 调 整 此 行 为 。 此 处 会 创 建   N * M   个 检 测 线 程 ， M   代 表   C P U   核 心 总 数 。 通 过 以 上 对 线 程 的 设 置 ， S u r i c a t a   会 创 建   1 . 5 * M   个 检 测 线 程 ， M   是 系 统 的   C P U   核 心 总 数 。 如 果 你 想 对   S u r i c a t a   配 置 有 更 多 的 了 解 ， 可 以 去 翻 阅 默 认 配 置 文 件 。 里 边 配 有 有 大 量 的 注 释 以 供 你 清 晰 理 解 。 使 用 使 用   S u r i c a t a   进 行 入 侵 监 控 进 行 入 侵 监 控 现 在 是 时 候 让   S u r i c a t a   跑 起 来 了 ， 但 在 这 之 前 还 有 一 个 步 骤 需 要 去 完 成 。 E X T E R N A L _ N E T ! $ H O M E _ N E T X X X _ P O R T S 1 .   v a r s : 2 .           H O M E _ N E T :   " [ 1 9 2 . 1 6 8 . 1 2 2 . 0 / 2 4 ] " 3 .           E X T E R N A L _ N E T :   " ! $ H O M E _ N E T " 4 .           H T T P _ P O R T S :   " 8 0 " 5 .           S H E L L C O D E _ P O R T S :   " ! 8 0 " 6 .           S S H _ P O R T S :   2 2 h o s t - o s - p o l i c y h o s t - o s - p o l i c y 1 .   h o s t - o s - p o l i c y : 2 .       #   T h e s e   a r e   W i n d o w s   m a c h i n e s . 3 .       w i n d o w s :   [ 1 9 2 . 1 6 8 . 1 2 2 . 0 / 2 8 ,   1 9 2 . 1 6 8 . 1 2 2 . 1 5 5 ] 4 .       b s d :   [ ] 5 .       b s d - r i g h t :   [ ] 6 .       o l d - l i n u x :   [ ] 7 .       #   M a k e   t h e   d e f a u l t   p o l i c y   L i n u x . 8 .       l i n u x :   [ 0 . 0 . 0 . 0 / 0 ] 9 .       o l d - s o l a r i s :   [ ] 1 0 .       s o l a r i s :   [ " : : 1 " ] 1 1 .       h p u x 1 0 :   [ ] 1 2 .       h p u x 1 1 :   [ ] 1 3 .       i r i x :   [ ] 1 4 .       m a c o s :   [ ] 1 5 .       v i s t a :   [ ] 1 6 .       w i n d o w s 2 k 3 :   [ ] t h r e a d i n g s e t - c p u - a f f i n i t y :   n o d e t e c t - t h r e a d - r a t i o :   N 1 .   t h r e a d i n g : 2 .       s e t - c p u - a f f i n i t y :   n o 3 .       d e t e c t - t h r e a d - r a t i o :   1 . 5
当 你 使 用   p c a p   捕 获 模 式 的 时 候 ， 强 烈 建 议 关 闭   S u r i c a t a   监 听 网 卡 上 的 任 何 的 包 卸 载 （ 例 如   L R O / G R O ） 功 能 。 这 些 功 能 会 干 扰 包 的 实 时 捕 获 行 为 。 按 照 以 下 方 法 关 闭   e t h 0   接 口 的   L R O / G R O   功 能 。 这 里 要 注 意 ， 在 使 用 某 些 网 卡 的 情 况 下 ， 你 会 看 到 如 下 警 告 信 息 。 忽 略 它 们 就 行 了 ， 这 些 信 息 只 不 过 告 诉 你 你 的 网 卡 不 支 持   L R O   功 能 而 已 。 S u r i c a t a   支 持 许 多 运 行 模 式 。 运 行 模 式 决 定 着   I D C   会 使 用 何 种 线 程 。 以 下 命 令 可 以 查 看 所 有   可 用 的 运 行 模 式 [ 5 ] 。 S u r i c a t a   使 用 的 默 认 运 行 模 式 是   a u t o f p （ 自 动 流 绑 定 负 载 均 衡 a u t o   f l o w   p i n n e d   l o a d   b a l a n c i n g   的 缩 写 ） 。 这 个 模 式 下 ， 来 自 某 一 个 流 的 包 会 被 分 配 到 一 个 单 独 的 检 测 线 程 中 。 这 些 流 会 根 据 未 被 处 理 的 包 的 最 低 数 量 来 分 配 相 应 的 线 程 。 最 后 ， 让 我 们 将   S u r i c a t a   运 行 起 来 ， 看 看 它 表 现 如 何 。 本 例 中 ， 我 们 在 一 个 8 核 心 系 统 中 监 控   e t h 0   网 络 接 口 。 如 上 所 示 ， S u r i c a t a   创 建 了 1 3 个 包 处 理 线 程 和 3 个 管 理 线 程 。 包 处 理 线 程 中 包 括 一 个   P C A P   包 捕 获 线 程 ， 1 2 个 检 测 线 程 ( 由 8 * 1 . 5 得 出 ) 。 这 表 示   I D S   内 的 1 个 包 捕 获 线 程 均 衡 负 载 到 1 2 个 检 测 线 程 中 。 管 理 线 程 包 括 1 个 流 管 理 和 2 个 计 数 / 统 计 相 关 线 程 。 以 下 是 一 个 关 于 S u r i c a t a 处 理 的 线 程 截 图 ( 由   h t o p [ 6 ]   绘 制 ) 。 S u r i c a t a   检 测 日 志 存 储 在   / v a r / l o g / s u r i c a t a   目 录 下 。 1 .   $   s u d o   e t h t o o l   - K   e t h 0   g r o   o f f   l r o   o f f 1 .   C a n n o t   c h a n g e   l a r g e - r e c e i v e - o f f l o a d 1 .   $   s u d o   / u s r / l o c a l / b i n / s u r i c a t a   - - l i s t - r u n m o d e s 1 .   $   s u d o   / u s r / l o c a l / b i n / s u r i c a t a   - c   / e t c / s u r i c a t a / s u r i c a t a . y a m l   - i   e t h 0   - - i n i t - e r r o r s - f a t a l
日 志 也 可 以 提 供   J s o n   格 式 以 便 导 入 ： 总 结 总 结 这 篇 教 程 中 ， 我 为 大 家 演 示 了 如 何 在 一 台 多 核   L i n u x   服 务 器 上 安 装   S u r i c a t a   入 侵 检 测 系 统 。 不 同 于 单 线 程 的   S n o r t   I D S [ 7 ] ， S u r i c a t a   可 以 很 容 易 的 从 多 核 硬 件 的 多 进 程 特 性 所 带 来 的 好 处 中 获 益 。 定 制   S u r i c a t a   来 最 大 化 其 效 能 和 检 测 范 围 是 一 个 很 好 的 主 意 。 S u r i c a t a   的 粉 丝 们 维 护 着 一 个   在 线   W i k i [ 8 ] ， 如 果 你 打 算 将   S u r i c a t a   部 署 到 你 的 环 境 中 ， 我 强 烈 建 议 你 去 那 儿 取 取 经 。 如 果 你 现 在 已 经 开 始 使 用   S u r i c a t a   了 的 话 ， 把 你 的 经 验 也 分 享 出 来 吧 。 v i a :   h t t p : / / x m o d u l o . c o m / i n s t a l l - s u r i c a t a - i n t r u s i o n - d e t e c t i o n - s y s t e m - l i n u x . h t m l 作 者 ： D a n   N a n n i [ 9 ]   译 者 ： m r - p i n g [ 1 0 ]   校 对 ： w x y [ 1 1 ] 本 文 由   L C T T [ 1 2 ]   原 创 编 译 ， L i n u x 中 国   荣 誉 推 出 [ 1 ] :   h t t p : / / s u r i c a t a - i d s . o r g / [ 2 ] :   h t t p s : / / w w w . b r o . o r g / [ 3 ] :   h t t p : / / r u l e s . e m e r g i n g t h r e a t s . n e t / [ 4 ] :   h t t p : / / x m o d u l o . c o m / r u n - p r o g r a m - p r o c e s s - s p e c i f i c - c p u - c o r e s - l i n u x . h t m l [ 5 ] :   h t t p s : / / r e d m i n e . o p e n i n f o s e c f o u n d a t i o n . o r g / p r o j e c t s / s u r i c a t a / w i k i / R u n m o d e s [ 6 ] :   h t t p : / / a s k . x m o d u l o . c o m / v i e w - t h r e a d s - p r o c e s s - l i n u x . h t m l [ 7 ] :   h t t p : / / x m o d u l o . c o m / h o w - t o - c o m p i l e - a n d - i n s t a l l - s n o r t - f r o m - s o u r c e - c o d e - o n - u b u n t u . h t m l [ 8 ] :   h t t p s : / / r e d m i n e . o p e n i n f o s e c f o u n d a t i o n . o r g / p r o j e c t s / s u r i c a t a / w i k i [ 9 ] :   h t t p : / / x m o d u l o . c o m / a u t h o r / n a n n i [ 1 0 ] :   h t t p s : / / g i t h u b . c o m / m r - p i n g [ 1 1 ] :   h t t p s : / / g i t h u b . c o m / w x y [ 1 2 ] :   h t t p s : / / g i t h u b . c o m / L C T T / T r a n s l a t e P r o j e c t 推 荐 文 章 推 荐 文 章 I D 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 3 5 8 F r e e B S D   和   L i n u x   有 什 么 不 同 ？ 1 3 3 0 全 能 冠 军 ： L i n u x 系 统 性 能 和 使 用 活 动 监 控 工 具   s y s s t a t 3 3 6 2 使 用   L i n u x / U n i x   进 行 文 本 处 理 3 4 5 5 末 日 即 将 来 到 ， T - 8 0 0   终 结 者 内 核 版 本   L i n u x   4 . 1 . 1 5   出 现 ！ 将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ 阅 读 原 文 1 .   $   t a i l   - f   / v a r / l o g / s u r i c a t a / f a s t . l o g 1 .   0 4 / 0 1 / 2 0 1 5 - 1 5 : 4 7 : 1 2 . 5 5 9 0 7 5     [ * * ]   [ 1 : 2 2 0 0 0 7 4 : 1 ]   S U R I C A T A   T C P v 4   i n v a l i d   c h e c k s u m   [ * * ]   [ C l a s s i f i c a t i o n :   ( n u l l ) ]   [ P r i o r i t y :   3 ]   { T C P }   1 7 2 . 1 6 . 2 5 3 . 1 5 8 : 2 2   - >   1 7 2 . 1 6 . 2 5 3 . 1 : 4 6 9 9 7 2 .   0 4 / 0 1 / 2 0 1 5 - 1 5 : 4 9 : 0 6 . 5 6 5 9 0 1     [ * * ]   [ 1 : 2 2 0 0 0 7 4 : 1 ]   S U R I C A T A   T C P v 4   i n v a l i d   c h e c k s u m   [ * * ]   [ C l a s s i f i c a t i o n :   ( n u l l ) ]   [ P r i o r i t y :   3 ]   { T C P }   1 7 2 . 1 6 . 2 5 3 . 1 5 8 : 2 2   - >   1 7 2 . 1 6 . 2 5 3 . 1 : 4 6 3 1 7 3 .   0 4 / 0 1 / 2 0 1 5 - 1 5 : 4 9 : 0 6 . 5 6 6 7 5 9     [ * * ]   [ 1 : 2 2 0 0 0 7 4 : 1 ]   S U R I C A T A   T C P v 4   i n v a l i d   c h e c k s u m   [ * * ]   [ C l a s s i f i c a t i o n :   ( n u l l ) ]   [ P r i o r i t y :   3 ]   { T C P }   1 7 2 . 1 6 . 2 5 3 . 1 5 8 : 2 2   - >   1 7 2 . 1 6 . 2 5 3 . 1 : 4 6 3 1 7 1 .   $   t a i l   - f   / v a r / l o g / s u r i c a t a / e v e . j s o n 1 .   { " t i m e s t a m p " : " 2 0 1 5 - 0 4 - 0 1 T 1 5 : 4 9 : 0 6 . 5 6 5 9 0 1 " , " e v e n t _ t y p e " : " a l e r t " , " s r c _ i p " : " 1 7 2 . 1 6 . 2 5 3 . 1 5 8 " , " s r c _ p o r t " : 2 2 , " d e s t _ i p " : " 1 7 2 . 1 6 . 2 5 3 . 1 " , " d e s t _ p o r t " : 4 6 3 1 7 , " p r o t o " : " T C P " , " a l e r t " 2 .   { " t i m e s t a m p " : " 2 0 1 5 - 0 4 - 0 1 T 1 5 : 4 9 : 0 6 . 5 6 6 7 5 9 " , " e v e n t _ t y p e " : " a l e r t " , " s r c _ i p " : " 1 7 2 . 1 6 . 2 5 3 . 1 5 8 " , " s r c _ p o r t " : 2 2 , " d e s t _ i p " : " 1 7 2 . 1 6 . 2 5 3 . 1 " , " d e s t _ p o r t " : 4 6 3 1 7 , " p r o t o " : " T C P " , " a l e r t "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理