Suricata 是一个免费、开源、成熟、快速且强大的网络威胁检测引擎。它可以用作入侵检测 (IDS) 引擎、内联入侵防御系统 (IPS)、网络安全监控 (NSM) 以及离线 pcap 处理工具。Suricata 使用强大而广泛的规则和签名语言检查网络流量，并具有强大的 Lua 脚本支持来检测复杂的威胁。
在 AlmaLinux 8 上安装 Suricata
步骤 1. 首先，让我们先确保您的系统是最新的。
sudo dnf update sudo dnf install epel-release sudo dnf config-manager --set-enabled PowerTools sudo dnf install diffutils gcc jansson-devel make nss-devel pcre-devel python3 python3-pyyaml rust-toolset zlib-devel curl wget tar lua lz4-devel
步骤 2. 在 AlmaLinux 8 上安装 Suricata。
现在我们从官方页面下载最新的稳定版Suricata源代码：
wget https://www.openinfosecfoundation.org/download/suricata-6.0.3.tar.gz tar xzf suricata-6.0.3.tar.gz
然后，使用以下命令编译并安装 Suricata：
cd suricata-6.0.3 ./configure --sysconfdir=/etc --localstatedir=/var --prefix=/usr/ --enable-lua --enable-geopip make make install-full
验证 Suricata 安装：
suricata -V
步骤 3. 配置 Suricata。
安装后，配置文件位于. 但是，对于我们的基本设置，我们将只关注 Suricata 正在侦听的网络接口以及连接到该接口的 IP 地址：/etc/suricata/suricata.yaml
nano /etc/suricata/suricata.yaml
添加以下几行：
vars:
# more specific is better for alert accuracy and performance
address-groups:
#HOME_NET: "[192.168.0.0/16,10.0.0.0/8,172.16.0.0/12]"
HOME_NET: "[192.168.77.21]"
#HOME_NET: "[192.168.0.0/16]"
#HOME_NET: "[10.0.0.0/8]"
#HOME_NET: "[172.16.0.0/12]"
#HOME_NET: "any"
EXTERNAL_NET: "!$HOME_NET"
#EXTERNAL_NET: "any"
...
接下来，将接口名称设置为 af-packet:
# Linux high speed capture support af-packet: - interface: enp0s3 ...........
定义要使用的 Suricata 规则文件。我们在这个演示中使用默认的 ET 规则：
... default-rule-path: /var/lib/suricata/rules rule-files: - suricata.rules ...
之后，通过禁用接口大型接收卸载 (LRO)/通用接收卸载 (GRO) 来禁用 Suricata 数据包卸载：
sudo ethtool -K gro off lro off
输出：
tx-checksum-ip-generic: ongeneric-segmentation-offload: ongeneric-receive-offload: offlarge-receive-offload: off [fixed]
如果启用，请通过运行以下命令禁用：
ethtool -K gro off lro off
第 4 步。运行 Suricata。
Suricata 可以由systemd服务管理。但在初始化之前，首先指定 Suricata 正在侦听的接口，如下所示：
nano /etc/sysconfig/suricata
添加以下几行：
# Add options to be passed to the daemon #OPTIONS="-i eth0 --user suricata " OPTIONS="-i enp0s3 --user suricata "
保存并退出文件，启动并启用 Suricata 以在引导时运行：
sudo systemctl enable --now suricata
要检查 Suricata 是否正在运行，请检查 Suricata 日志：
sudo tail /var/log/suricata/suricata.log
第 5 步。测试 Suricata 规则。
在这个演示中，我们使用默认的 ET Suricata 规则。如果您创建了自己的自定义规则，请务必测试 Suricata 规则是否存在语法错误：
sudo suricata -c /etc/suricata/suricata.yaml -T -v
输出：
26/7/2021 -- 16:46:11 - - Running suricata under test mode 26/7/2021 -- 16:46:11 - - This is Suricata version 5.0.3 RELEASE running in SYSTEM mode 26/7/2021 -- 16:46:11 - - CPUs/cores online: 1 26/7/2021 -- 16:46:11 - - fast output device (regular) initialized: fast.log 26/7/2021 -- 16:46:11 - - eve-log output device (regular) initialized: eve.json 26/7/2021 -- 16:46:11 - - stats output device (regular) initialized: stats.log 26/7/2021 -- 16:46:13 - - 1 rule files processed. 20676 rules successfully loaded, 0 rules failed 26/7/2021 -- 16:46:13 - - Threshold config parsed: 0 rule(s) found 26/7/2021 -- 16:46:13 - - 20679 signatures processed. 1138 are IP-only rules, 3987 are inspecting packet payload, 15324 inspect application layer, 103 are decoder event only26/7/2021 -- 16:46:28 - - Configuration provided was successfully loaded. Exiting.26/7/2021 -- 16:46:28 - - cleaning up signature grouping structure… complete
感谢您使用本教程在您的 AlmaLinux 8 系统上安装 Suricata。如需更多帮助或有用信息，我们建议您查看Suricata 官方网站。
