Suricata: Einbruchserkennung mit dem Erdmännchen
){kind=small}
Alexander Hosfeld
Volle Ausbaustufe: Suricata mit Echtzeit-Analyse und grafischer Oberfläche
Ausgabe und Alarmierung
Wird ein Alarm ausgelöst, gibt es viele Möglichkeiten, wie die Protokollierung erfolgen kann und wie die Regelverstöße auswertet werden können. Die einfachste Methode wäre ein »fastlog«, das jeden IDS-Alarm in einer Zeile einer Logdatei festhält und z.B. über ein eigenes Skript aufbereitet werden kann. Bis zum komplexen Logging und einem (u.U. datenbankgestützten) JSON-basierten Format EVE, das durch ElasticSearch, Logstash und Kibana aufbereitet und analysiert werden kann, sind viele Zwischenstufen denkbar.
Fazit
Suricata ist ein leistungsfähiges Intrusion Detection und Intrusion Prevention System, das sich auf vielfältige Weise an den jeweiligen Einsatzzweck anpassen lässt. Über den NFQUEUE-Mechanismus gibt es eine sehr leistungsfähige und flexible Anbindung an die Linux-Firewall »Netfilter«.
Bei allen Möglichkeiten, die Suricata bietet, darf man aber nicht vergessen, dass ein IDS/IPS nicht vor (unbekannten) Sicherheitslücken schützen kann. Suricata kann und muss nur ein Baustein in einem globaleren Sicherheitskonzept sein.
Autoreninformation
Alexander Hosfeld (Webseite) ist selbstständiger IT-Consultant und entwickelt in seiner Freizeit eine Debian-basierte Firewall.
Dieser Artikel ist in freiesMagazin 02/2015 (ISSN 1867-7991) erschienen. Veröffentlichung mit freundlicher Genehmigung.
