Suricata
Suricata ist ein Network Intrusion Detection System (NIDS)
Beschreibung
- Hochleistungsfähiges Netzwerk-IDS, IPS und Network Security Monitoring engine
- Auch als Network Intrusion Prevention System (NIPS) einsetzbar
- in Datenverkehr eingreift und Pakete blockieren
- Suricata ist ein Intrusion Detection und Intrusion Prevention System
- Kann auf vielfältige Weise an verschiedene Einsatzzwecke angepasst werden
- Über den NFQUEUE-Mechanismus gibt es eine leistungsfähige und flexible Anbindung an die Linux-Firewall Netfilter
- Lizenz
- GPL
- Suricata wird von der OISF und den sie unterstützenden Anbietern entwickelt
- Open Source
- Im Besitz einer gemeinschaftlich geführten gemeinnützigen Stiftung
- Open Information Security Foundation (OISF)
- Anwendung
Freie Firewall-Distributionen
Kommerzielle Anbieter
- Übersicht
| Betriebssystem | FreeBSD, Linux, Unix, macOS, Windows |
| Kategorie | Intrusion Detection System |
| Programmiersprache | C, Rust |
| Lizenz | GPL |
| Website | suricata.io |
- Entwicklung
- seit 2008 durch Matt Jonkman, Will Metcalf und Victor Julien
Funktionen
- Systeme zur Erkennung und Abwehr von Angriffen auf eine IT-Infrastruktur können auf Netzwerkebene den ein- und ausgehenden Datenverkehr auf verdächtige Muster überprüfen.
- So kann der Systemadministrator bei Unregelmäßigkeiten informiert werden oder über eine Rückschaltung zur Firewall die unerwünschte Kommunikation gänzlich unterbunden werden.
- Im Folgenden soll die grundlegende Funktionalität von Suricata, einem signaturbasierten Intrusion Detection System (IDS) beschrieben werden.
- Suricata beschreibt sich selbst als Next-Generation IDS, da es neben der Erkennung und Abwehr von netzwerkbasierten Angriffsmustern zusätzlich über Möglichkeiten verfügt, Protokolle wie HTTP oder DNS auf Anwendungsebene zu überwachen und zu protokollieren.
- Durch Funktionen wie Multithreading, Scripting und High Performance Detection hat sich Suricata mittlerweile fest als Alternative zu snort, dem bisherigen IDS-Platzhirsch, etabliert.
| Funktion | Beschreibung |
|---|---|
| Multithreading | |
| PCAP-Analyse | |
| IPv6-Support | |
| Automatische Protokollerkennung | |
| Protokoll-Parser | |
| HTTP-Engine (libhtp) | |
| PCRE-Support | |
| Lua-Skripte | |
| Intel-Hyperscan | |
| Eve JSON-Log-Ausgabe | |
| Redis | |
| Datei-Extrahierung | |
| High-Performance-Packetaufzeichnung | |
| AF_PACKET | |
| PF_RING | |
| NETMAP | |
| IP-Reputation |
Multithreading
- Ein wesentliches Merkmal, das Suricata auszeichnet und von anderen bekannten IDS/IPS unterscheidet, ist die Möglichkeit des Multithreadings und der dadurch gewonnene Performancegewinn.
- So können bei einer aktuellen Multicore-CPU die Analyseaufgaben auf mehrere gleichzeitig laufende Prozesse aufgeteilt werden, was eine parallele Paketverarbeitung ermöglicht.
- Multithread-fähige Vorgänge
- Paketempfang
- Paketdekodierung
- Paketanalyse
- Paketverarbeitung
Jeder dieser Vorgänge kann nicht nur individuell auf eine oder mehrere CPUs aufgeteilt, sondern auch zusätzlich noch priorisiert werden.
- In den Standardeinstellungen nutzt Suricata für den rechenintensivsten Prozess, die Paketanalyse, einen Thread pro CPU.
"Multithreading-Standardeinstellungen bei 4 CPUs"
- Multithreading-Standardeinstellungen bei 4 CPUs
- Begriffe
| Begriff | Beschreibung |
|---|---|
| Empfang | Pakete vom Netzwerk lesen |
| Decodierung | Pakete auf TCP-Ebene decodieren und Original-Datenstrom restaurieren |
| Analyse | Datenstrom mit aktivierten Signaturen vergleichen |
| Output | Alarmierungen und Ereignisse verarbeiten |
Installation
# apt install suricata
Konfiguration
Betrieb
Sicherheit
- Ein IDS/IPS kann nur vor bekannten Angriffen und Sicherheitslücken schützen!
- nicht vor unbekannten
- Daher kann ein IDS/IPS nur ein Baustein in einem Sicherheitskonzept sein
Anhang
Siehe auch
Sicherheit
Dokumentation
Links
Projekt
Weblinks
- OISF – Foundation hinter Suricata
- emergingthreats.net – Community für Suricata Signaturen
- http://suricata-ids.org/
- https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Ubuntu_Installation_from_GIT
- http://www.emergingthreats.net/
- http://oinkmaster.sourceforge.net/
- http://www.hosfeld.de/
- http://www.freiesmagazin.de/20150201-februarausgabe-erschienen
- https://www.pro-linux.de/artikel/2/1751/6,ausgabe-und-alarmierung.html
TMP
Dokumentation
- https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation
- https://suricata.readthedocs.io/en/latest/index.html