蚊章汇 - Suricata
type: channel
link: https://linuxcn.bwsl.wang/tag/Suricata/
items: 如何在 Linux 系统上安装 Suricata 入侵检测系统

如何在 Linux 系统上安装 Suricata 入侵检测系统
type: item
date: 2016-02-07T18:10:00+08:00
description: 随着安全威胁的不断发生，入侵检测系统（IDS）在如今的数据中心环境中显得尤为必要。然而，随着越来越多的服务器将他们的网卡升级到10GB/40GB以太网，对如此线路上的硬件进行计算密集型的入侵检测越来越困难。其中一种提升入侵检测系统性能的途径是多线程入侵检测系统，它将 CPU 密集型的深度包检测工作并行的分配给多个并发任务来完成。这样的并行检测可以充分利用多核硬件的优势来轻松提升入侵检测系统的吞吐量。在这方面有两个知名的开源项目，分别是 Suricata 和 Bro。这个教程里，我会向大家演示如何在 Linux 服务器上安装和配置 Suricata 入侵检测系统。在 Linux 上安装 Suricata IDS让我们从源文件来构建 Suricata，但在此之前，需要按如下所示先安装几个依赖包。在 Debian, Ubuntu 或者 Linux Mint 操作系统上安装依赖包$ sudo apt-get install wget build-essential libpcre3-dev libpcre3-dbg automake autoconf libtool libpcap-dev libnet1-dev libyaml-dev zlib1g-dev libcap-ng-dev libjansson-dev 在 CentOS, Fedora 或者 RHEL 操作系统上安装依赖包$ sudo yum install wget libpcap-devel libnet-devel pcre-devel gcc-c++ automake autoconf libtool make libyaml-devel zlib-devel file-devel jansson-devel nss-devel 一旦将所有依赖包安装完毕，我们就可以继续安装 Suricata 了。首先从 http://suricata-ids.org/download/ 下载 Suricata 源代码，然后构建它。撰写这篇文章的时候，其最新版本号为 2.0.8 。$ wget http://www.openinfosecfoundation.org/download/suricata-2.0.8.tar.gz $ tar -xvf suricata-2.0.8.tar.gz $ cd suricata-2.0.8 $ ./configure --sysconfdir=/etc --localstatedir=/var 以下是配置信息的样例。Suricata Configuration: AF_PACKET support: yes PF_RING support: no NFQueue support: no NFLOG support: no IPFW support: no DAG enabled: no Napatech enabled: no Unix socket enabled: yes Detection enabled: yes libnss support: yes libnspr support: yes libjansson support: yes Prelude support: no PCRE jit: yes LUA support: no libluajit: no libgeoip: no Non-bundled htp: no Old barnyard2 support: no CUDA enabled: no 现在可以编译、安装了。$ make $ sudo make install Suricata 源代码带有默认的配置文件。按照如下方法安装这些默认配置文件即可。$ sudo make install-conf 正如你所料，如果没有IDS规则集的话，Suricata 什么用也没有。幸好 Makefile 为我们提供了 IDS 规则集的安装选项。安装方法如下。$ sudo make install-rules 以上的规则安装命令会从 EmergingThreats.net 上下载可用的社区规则集快照，并且将其存储在 /etc/suricata/rules 目录下。首次配置 Suricata IDS现在到了配置 Suricata 的时候了。配置文件的位置是 /etc/suricata/suricata.yaml。参照以下命令，用文本编辑器打开这个文件。$ sudo vi /etc/suricata/suricata.yaml 文件中有一些运行所需的基本配置。为default-log-dir关键字指定 Suricata 日志文件所在的位置。default-log-dir: /var/log/suricata/ 在vars部分下方，…