Suricata คืออะไร และวิธีติดตั้งบน Cloud Server

ทดสอบบน Ubuntu Server 24.04 LTS

1. 1

   ติดตั้ง Suricata

   คัดลอก

   sudo add-apt-repository ppa:oisf/suricata-stable -y
   sudo apt update && sudo apt -y install suricata
   suricata --build-info | head -5

2. 2

   ตั้งค่าเครือข่ายที่ต้องตรวจสอบ

   ระบุการ์ดเครือข่ายและช่วงไอพีของระบบภายใน เพื่อให้ระบบแยกได้ว่าทิศทางใดคือเข้าและออก

   คัดลอก

   # /etc/suricata/suricata.yaml
   vars:
     address-groups:
       HOME_NET: "[10.10.0.0/24]"
       EXTERNAL_NET: "!$HOME_NET"
   
   af-packet:
     - interface: ens3
       cluster-id: 99
       cluster-type: cluster_flow

3. 3

   ดาวน์โหลดและอัปเดตชุดกฎ

   คัดลอก

   sudo suricata-update
   sudo suricata-update list-sources
   sudo systemctl restart suricata

4. 4

   ทดสอบว่าตรวจจับได้จริง

   เรียกทดสอบด้วยกฎมาตรฐานแล้วดูว่ามีการแจ้งเตือนปรากฏในไฟล์เหตุการณ์

   คัดลอก

   curl -s http://testmynids.org/uid/index.html > /dev/null
   sudo tail -f /var/log/suricata/fast.log

5. 5

   ตั้งอัปเดตกฎอัตโนมัติ

   คัดลอก

   0 4 * * * /usr/bin/suricata-update && systemctl reload suricata

6. 6

   ส่งผลไปยังระบบรวม Log

   ตั้งให้ส่งไฟล์เหตุการณ์เข้า Graylog หรือ Wazuh เพื่อให้ค้นหาและตั้งกฎแจ้งเตือนได้ เพราะการอ่านไฟล์บนเครื่องอย่างเดียวไม่พอสำหรับงานจริง

เริ่มจากโหมดตรวจจับก่อนเสมอ แล้วดูว่ามีการแจ้งเตือนที่ผิดพลาดมากแค่ไหน ก่อนพิจารณาเปลี่ยนเป็นโหมดบล็อก มิฉะนั้นอาจตัดทราฟฟิกของผู้ใช้จริงโดยไม่ตั้งใจ