Ceci est une ancienne révision du document !
Suricata : Système de détection et de prévention d'intrusion
Le moteur Suricata est un IDS/IPS Open Source. Ce moteur n'est pas destiné à remplacer à la ou émuler les outils existants dans l'industrie, mais ils apporteront de nouvelles idées et technologies sur le terrain.
OISF fait partie et est financée par le Department of Homeland Direction de la sécurité pour la science et la technologie hôte programme (Open Homeland Security Technology), par l'espace de la Navy and Naval Warfare Systems Command (SPAWAR), ainsi que par le soutien très généreux de la membres du Consortium OISF. Plus d'informations sur le Consortium est disponible, ainsi qu'une liste de nos membres actuels du consortium.
Le moteur de Suricata et la Bibliothèque HTP sont disponibles pour l'utilisation sous licence GPL 2.
Voir aussi : snort inline
Site officiel : http://openinfosecfoundation.org/index.php/download-suricata
Installation
La dernière version est disponible sur le dépôt ppa ppa:honeynet/nightly ,puis recharger la liste des paquets ,Philipp Seidel maintient les mises à jour de Suricata pour Ubuntu Lucid, Ubuntu Maverick.
Compilation
- Dépendances :
- Compiler.
echo " compilation " echo "http://bailey.st/blog/2010/07/03/suricata-1-0-0-setup-on-ubuntu-10-04/" suricataversion=suricata-1.0.5 sudo apt-get -y install libpcre3 libpcre3-dbg libpcre3-dev build-essential autoconf automake libtool libpcap-dev libnet1-dev libyaml-0-2 libyaml-dev zlib1g zlib1g-dev libcap-ng-dev libcap-ng0 sudo apt-get -y install libnetfilter-queue-dev libnetfilter-queue1 libnfnetlink-dev libnfnetlink0 cd mkdir suricata-1.0.5 wget http://people.redhat.com/sgrubb/libcap-ng/libcap-ng-0.6.4.tar.gz tar -xzvf libcap-ng-0.6.4.tar.gz cd libcap-ng-0.6.4 ./configure && make && sudo make install apt-get install libhtp1 apt-get install libhtp-dev wget http://www.openinfosecfoundation.org/download/$suricataversion.tar.gz tar -xvzf $suricataversion.tar.gz cd suricata-1.0.0 ./configure --enable-nfqueue sudo mkdir /var/log/suricata/ make make install mkdir /etc/suricata apt-get install checkinstall checkinstall dpkg -i suricata_1.0.0-1_i386.deb cp classification.config suricata.yaml /etc/suricata/ mkdir /etc/suricata/rules cd /etc/suricata/rules wget http://www.emergingthreats.net/rules/emerging-attack_response.rules wget http://www.emergingthreats.net/rules/emerging-scan.rules wget http://www.emergingthreats.net/rules/emerging-exploit.rules wget http://www.emergingthreats.net/rules/emerging-current_events.rules wget http://www.emergingthreats.net/rules/emerging-voip.rules wget http://www.emergingthreats.net/rules/emerging-malware.rules wget http://www.emergingthreats.net/rules/emerging-dos.rules wget http://www.emergingthreats.net/rules/emerging-drop.rules wget http://www.emergingthreats.net/rules/emerging-compromised.rules wget http://www.emergingthreats.net/rules/emerging-dshield.rules wget http://www.emergingthreats.net/rules/emerging-botcc.rules wget http://www.emergingthreats.net/rules/emerging-rbn.rules wget http://www.emergingthreats.net/rules/emerging-virus.rules cd /etc/suricata/ sudo vi suricata.yaml suricata -D -c /etc/suricata/suricata.yaml -s /etc/suricata/classification.config -i wlan0
Configuration
0) Choix de la configuration 'hoteou forwarding
echo "Mode host situation = firewall sur le pc" sudo iptables -I INPUT -j NFQUEUE sudo iptables -I OUTPUT -j NFQUEUE echo "Mode gateway-scenario forwarding = firewall en entré de DMZ ( réseau entreprise ) " echo "sudo iptables -I FORWARD -j NFQUEUE"
1) copie du fichier de configuration
sudo cp /etc/suricata/suricata-debian.yaml /etc/suricata/suricata.yaml
2) effectuer une mise à jour des règles
echo "update rules" cd /etc/snort/rules echo "http://www.emergingthreats.net" sudo wget http://www.emergingthreats.net/rules/emerging.rules.tar.gz sudo tar xvf emerging.rules.tar.gz sudo rm emerging.rules.tar.gz sudo cp rules/* . echo " http://sagan.softwink.com/ " sudo wget http://sagan.softwink.com/rules/sagan-rules-current.tar.gz sudo tar xvf sagan-rules-current.tar.gz sudo rm sagan-rules-current.tar.gz sudo cp sagan-rules/* . sudo wget https://redmine.openinfosecfoundation.org/projects/suricata/repository/revisions/master/changes/rules/decoder-events.rules sudo wget https://redmine.openinfosecfoundation.org/projects/suricata/repository/revisions/master/changes/rules/stream-events.rules <code> ====3) Editer le fichier de configuratin==== =====Utilisation===== ====Lancement==== <code> sudo suricata -D -c /etc/suricata/suricata.yaml -q 0
Liens
Contributeurs principaux : Psychederic