网络安全系列-三十六:使用Suricata IDS分析pcap文件

suricata-docker suricata的docker实现

阿姆斯特丹 介绍 阿姆斯特丹是使用Compose的SELKS和Docker。 阿姆斯特丹的结果是提供了完整的Suricata IDS / NSM生态系统的一组容器： 苏里卡塔 弹性搜索 Logstash 基巴纳 希里乌斯 Evebox（ ） ELK堆栈是使用官方docker映像创建的。 Logstash和Suricata之间的通信是通过共享目录（来自主机）完成的。 这适用于共享/ etc / suricata / rules目录的scirius和suricata。 安装 通用的 您可以通过运行从源目录安装amsterdam sudo python setup.py install 或者您可以使用pip安装最新发布的版本 sudo pip install amsterdam 德比安 您需要安装Docker。 在Debian上 sudo apt-get install docker.

docker-elk-suricata：针对pfSense和Suricata的ELK堆栈，针对Synology NAS进行了优化

码头工人苏里卡塔（Docker Suricata） Suricata是一个开源IDS，IPS和NSM引擎。 有关更多信息，请访问其或查阅官方以获取技术信息。 对于高山用户：使用Docker和Docker Compose运行Suricata的4.0.4版本。 这是Suricata的即用型。 要求 主机设定 安装版本17.12.0+ 安装版本1.6.0+ 用法 初始设置 现在您可以从高山发射。 默认情况下，.env文件中的OS_SURICATA设置为alpine 。 要进行选择，您必须设置OS_SURICATA环境变量或更改.env文件中的值。 可用值： 高山的 首先：使用docker-compose启动Suricata ：（您必须在存储库中才能执行） docker-compose up 如果要在后台运行： docker-compose up -d Suricata

道尔顿 Dalton是一个系统，该系统允许用户使用定义的规则集和/或定制规则针对自己选择的入侵检测系统（“ IDS”）传感器（例如Snort，Suricata）快速轻松地运行网络数据包捕获（“ pcaps”）。 道尔顿还为提供了一个类似于向导的Web界面，以方便自定义pcap的创建。 快速入门： ./start-dalton.sh 或做同样的事情： docker-compose build && docker-compose up -d 然后导航到http://<docker>/dalton/ 要配置可用的规则集，请参阅。 要配置可用的传感器，请参阅。 如果要在代理之后进行构建，请参阅 内容 Suricata套接字控制模式 作业设定 配置文件 工作结果 作业队列 感测器 道尔顿API 作业API 控制器API 茶壶工作 添加规则集 添加传感器 Docker传感

帽檐 命令行实用程序，用于将pcap数据转换为灵活的，可搜索的zng数据格式，如和zq。 快速开始 。 随手准备一个pcap（或从下载示例pcap）。 运行brimcap分析： brimcap analyze sample.pcap > sample.zng 使用浏览： zq -z "zeek=count(has(_path)), alerts=count(has(event_type='alert'))" logs.zng 与Brim桌面应用程序配合使用 为了以丰富的基于ui的体验浏览数据，可以使用brimcap load命令（适用于linux，macOS和Windows的构建）将来自分析的数据自动加载到*： 运行帽沿桌面应用程序。 在pcap上执行brimcap加载： brimcap load sample.pcap *集成目前还不是很好，很快就会有更好的体验！ 安装

Suricata Docker映像 用法 您很可能希望在主机上的网络接口上运行Suricata，而不是在容器内通常提供的网络接口上运行： docker run --rm -it --net=host \ --cap-add=net_admin --cap-add=sys_nice \ jasonish/suricata:latest -i <interface> 但是您可能想要查看Suricata记录的内容，因此您可能想要像这样启动它： docker run --rm -it --net=host \ --cap-add=net_admin --cap-add=sys_nice \ -v $(pwd)/logs:/var/log/suricata \ jasonish/suricata:latest -i <interface> 它将日志目录（在当前目