Suricata

Suricata ist ein Network Intrusion Detection System (NIDS)

Beschreibung

Suricata ist ein Intrusion Detection und Intrusion Prevention System

• Kann auf vielfältige Weise an verschiedene Einsatzzwecke angepasst werden
• Über den NFQUEUE-Mechanismus gibt es eine leistungsfähige und flexible Anbindung an die Linux-Firewall Netfilter

Kann vor bekannten Angriffen und Sicherheitslücken schützen

• Ein IDS/IPS kann nicht vor (unbekannten) Sicherheitslücken schützen
• Suricata kann nur ein Baustein in einem Sicherheitskonzept sein

• Network Intrusion Detection System (NIDS)
  • Open Information Security Foundation (OISF)
• Auch als Network Intrusion Prevention System (NIPS) einsetzbar

(in Datenverkehr eingreift und Pakete blockieren)

Lizenz

Anwendung

Freie Firewall-Distributionen

• IPFire
• pfSense
• OPNsense
• SecurityOnion

Kommerzielle Anbieter

• FireEye

Übersicht

Hersteller	Open Information Security Foundation
Betriebssystem	FreeBSD, Linux, Unix, macOS, Windows
Kategorie	Intrusion Detection System
Programmiersprache	C, Rust
Lizenz	GPL
Website	suricata.io

Entwicklung

• seit 2008 durch Matt Jonkman, Will Metcalf und Victor Julien

Funktionen

Funktion	Beschreibung
Multithreading
PCAP-Analyse
IPv6-Support
Automatische Protokollerkennung
Protokoll-Parser
HTTP-Engine (libhtp)
PCRE-Support
Lua-Skripte
Intel-Hyperscan
Eve JSON-Log-Ausgabe
Redis
Datei-Extrahierung
High-Performance-Packetaufzeichnung
AF_PACKET
PF_RING
NETMAP
IP-Reputation

Systeme zur Erkennung und Abwehr von Angriffen auf eine IT-Infrastruktur können auf Netzwerkebene den ein- und ausgehenden Datenverkehr auf verdächtige Muster überprüfen.

• So kann der Systemadministrator bei Unregelmäßigkeiten informiert werden oder über eine Rückschaltung zur Firewall die unerwünschte Kommunikation gänzlich unterbunden werden.
• Im Folgenden soll die grundlegende Funktionalität von Suricata, einem signaturbasierten Intrusion Detection System (IDS) beschrieben werden.

Suricata beschreibt sich selbst als Next-Generation IDS, da es neben der Erkennung und Abwehr von netzwerkbasierten Angriffsmustern zusätzlich über Möglichkeiten verfügt, Protokolle wie HTTP oder DNS auf Anwendungsebene zu überwachen und zu protokollieren.

• Durch Funktionen wie Multithreading, Scripting und High Performance Detection hat sich Suricata mittlerweile fest als Alternative zu snort, dem bisherigen IDS-Platzhirsch, etabliert.

Suricata is a high performance Network IDS, IPS and Network Security Monitoring engine. Open Source and owned by a community run non-profit foundation, the Open Information Security Foundation (OISF). Suricata is developed by the OISF and its supporting vendors.

Multithreading

Ein wesentliches Merkmal, das Suricata auszeichnet und von anderen bekannten IDS/IPS unterscheidet, ist die Möglichkeit des Multithreadings und der dadurch gewonnene Performancegewinn.

• So können bei einer aktuellen Multicore-CPU die Analyseaufgaben auf mehrere gleichzeitig laufende Prozesse aufgeteilt werden, was eine parallele Paketverarbeitung ermöglicht.

Suricata unterscheidet dabei zwischen vier Multithread-fähigen Vorgängen

• Paketempfang, Paketdekodierung, Paketanalyse und Paketverarbeitung.
• Jeder dieser Vorgänge kann nicht nur individuell auf eine oder mehrere CPUs aufgeteilt, sondern auch zusätzlich noch priorisiert werden.
• In den Standardeinstellungen nutzt Suricata für den rechenintensivsten Prozess, die Paketanalyse, einen Thread pro CPU.

"Multithreading-Standardeinstellungen bei 4 CPUs"

Multithreading-Standardeinstellungen bei 4 CPUs

Folgende Begriffe werden dabei verwendet

• Empfang
• Pakete werden vom Netzwerk gelesen.
• Decodierung
• Pakete werden auf TCP-Ebene decodiert und der Original-Datenstrom wird restauriert.
• Analyse
• Der Datenstrom wird mit den hinterlegten Signaturen verglichen.
• Output

Evtl. auftretene Alarmierungen und Ereignisse werden verarbeitet.

Installation

# apt install suricata

Konfiguration

Suricata/Konfiguration

Betrieb

Suricata/Betrieb

Siehe auch

1. Stateful Packet Inspection
2. Snort

Dokumentation

1. https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation
2. https://suricata.readthedocs.io/en/latest/index.html

Links

Projekt

1. Offizielle Website

Weblinks

1. OISF – Foundation hinter Suricata
2. emergingthreats.net – Community für Suricata Signaturen
3. http://suricata-ids.org/
4. https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Ubuntu_Installation_from_GIT
5. http://www.emergingthreats.net/
6. http://oinkmaster.sourceforge.net/
7. http://www.hosfeld.de/
8. http://www.freiesmagazin.de/20150201-februarausgabe-erschienen
9. https://www.pro-linux.de/artikel/2/1751/6,ausgabe-und-alarmierung.html

Testfragen

Testfrage 1

Antwort1

Testfrage 2

Antwort2

Testfrage 3

Antwort3

Testfrage 4

Antwort4

Testfrage 5

Antwort5