systemd <\/strong>para desplegar Suricata automáticamente cuando se inicie el servidor mediante el siguiente comando:<\/p>sudo nano \/etc\/systemd\/system\/suricata.service<\/pre>Dentro del archivo de la unidad de servicio, introduce las siguientes líneas:<\/p>
# Define the Suricata systemd unit\n[Unit]\nDescription=Suricata IDS\/IPS\nAfter=network.target\n\n# Specify the Suricata binary path, the configuration files location, and the network interface\n[Service]\nExecStart=\/usr\/bin\/suricata -c \/etc\/suricata\/suricata.yaml -i venet0\n[Install]\n\nWantedBy=default.target<\/pre>Pulsa Ctrl + X<\/strong>, Y <\/strong>y Enter <\/strong>para guardar los cambios. Ejecuta el siguiente comando para que Suricata se cargue automáticamente al arrancar el sistema:<\/p>sudo systemctl enable suricata<\/pre>A continuación, ejecuta el comando systemctl start <\/strong>para iniciar Suricata. Comprueba el estado para asegurarte de que el servicio se está ejecutando.<\/p>Si terminal devuelve el error “No coinciden los archivos de reglas<\/strong>“, es posible que Suricata no pueda cargar las reglas de monitorización de red. Para solucionarlo, ejecuta suricata-update <\/strong>para actualizar la ruta del directorio.<\/p>A continuación, abre el archivo suricata.yaml <\/strong>y modifica las reglas de configuración, como se indica a continuación:<\/p>default-rule-path: \/var\/lib\/suricata\/rules<\/pre>rule-files:\n - suricata.rules<\/pre>Guarda el archivo y reinicia el servicio para aplicar los cambios.<\/p>
7. Prueba la funcionalidad de Suricata<\/h3> Después de iniciar Suricata, valida su archivo de configuración para asegurarte de que la herramienta funciona. La forma más sencilla de hacerlo es utilizando el comando de prueba incorporado:<\/p>
sudo suricata -T -c \/etc\/suricata\/suricata.yaml -v<\/pre>La opción -T <\/strong>te permite ejecutar el modo de prueba Suricata y -c <\/strong>te permite encontrar el archivo de configuración en la ruta especificada. Además, la opción -v <\/strong>activa el modo verbose, que proporciona detalles sobre la ejecución del comando, incluidos los errores.<\/p>Si tienes numerosas reglas e hilos de CPU limitados, el proceso se ejecutará durante más tiempo, pero no debería superar unos minutos. El terminal imprimirá los registros de la prueba como los siguientes.<\/p>Durante este paso, busca el mensaje de advertencia que indica una configuración incorrecta en tu archivo YAML<\/strong>. Para simplificar la resolución de problemas, te recomendamos que le preguntes a Kodee para encontrar soluciones.<\/p>A continuación, comprueba las reglas de Suricata para asegurarte de que detectan correctamente el tráfico malicioso. La guía de inicio rápido de Suricata recomienda utilizar la regla ET Open número 2100498 <\/strong>y conectarse a una URL de prueba mediante el comando curl<\/strong>:<\/p>curl http:\/\/testmynids.org\/uid\/index.html<\/pre>El comando enviará una petición HTTP para activar la regla de alerta. A continuación, Suricata generará eventos de registro en el archivo eve.json <\/strong>y fast.log <\/strong>sobre el tráfico detectado.<\/p>Comprueba si Suricata etiqueta la petición HTTP como tráfico potencialmente malicioso en el archivo fast.log<\/strong>. Para ello, ejecuta la utilidad grep <\/strong>para filtrar el número de ID de la regla:<\/p>grep 2100498 \/var\/log\/suricata\/fast.log<\/pre>La salida debería mostrar un registro etiquetando el paquete como “Tráfico potencialmente malo<\/strong>“.<\/p>Como el registro eve <\/strong>formatea sus entradas como JSON<\/strong>, analizarlo requiere la utilidad jq<\/strong>. Omite este paso si tienes instalada la utilidad. En caso contrario, ejecuta lo siguiente:<\/p>sudo apt install jq<\/pre>A continuación, introduce el siguiente comando para filtrar las entradas del archivo de registro en función del ID de firma y del tipo de alerta:<\/p>
jq 'select(.alert .signature_id==2100498)' \/var\/log\/suricata\/eve.json<\/pre>Deberías ver el ID de la regla y la misma categoría “Tráfico potencialmente malo<\/strong>“. Significa que Suricata ha emparejado el tráfico de tu red con la regla de detección correcta.<\/p>Estos registros son útiles para la gestión de alertas y la supervisión de la seguridad de la red. Por ejemplo, puedes bloquear fuentes de tráfico sospechosas en el Cortafuegos sin complicaciones<\/a> (UFW) de Ubuntu o en iptables<\/strong>.<\/p>8. Actualiza las normas de Suricata<\/h3> Suricata detecta los paquetes sospechosos mediante firmas o reglas definidas por el usuario. Incluye algunas por defecto, pero pueden ser insuficientes si tu servidor recibe tráfico de muchas fuentes.<\/p>
Para añadir nuevas reglas, obtén conjuntos de reglas adicionales de varios proveedores externos. Aunque algunos de ellos son gratuitos, otros pueden cobrar una cuota de suscripción. Para listarlos, ejecuta el siguiente comando:<\/p>
sudo suricata-update list-sources<\/pre>Verás los proveedores, resúmenes, licencias e información de suscripción de los proveedores. Para importar un conjunto de reglas, ejecuta el siguiente comando:<\/p>
sudo suricata-update enable-source nombre-del-proveedor<\/pre>Sustituye el marcador de posición nombre-del-proveedor <\/strong>por la fuente del conjunto de reglas que desees. Por ejemplo, ejecuta esto para recuperar sslbl\/ja3-fingerprints<\/strong>:<\/p>sudo suricata-update enable-source sslbl\/ja3-fingerprints<\/pre>A continuación, vuelve a ejecutar el comando suricata-update <\/strong>para actualizar y validar los archivos de reglas del directorio \/etc\/suricata\/rules<\/strong>. Si no añades una fuente externa, la actualización de Suricata recuperará las reglas por defecto de ET OPEN<\/strong>.<\/p>Después de actualizar la fuente ET OPEN por defecto, verás que Suricata ha procesado la inspección de la firma de la carga útil del paquete <\/strong>y las reglas ip-only<\/strong>.<\/p>El mensaje de actualización debería terminar con la herramienta limpiando la estructura de agrupación de firmas. Si estás actualizado, terminal imprimirá “No se han detectado cambios, saliendo<\/strong>“.<\/p>Te recomendamos que ejecutes la herramienta de actualización Suricata con regularidad para asegurarte de que tu sistema recibe la regla más reciente. Aplicar el método de detección más reciente ayuda a mantener una seguridad óptima del servidor Ubuntu.<\/p>
Opcionalmente, utiliza herramientas de gestión de reglas Suricata como Pulledpork<\/a> y Oinkmaster<\/a> para afinar el método de detección. Utiliza nano <\/strong>para modificar el archivo:<\/p>sudo nano \/etc\/suricata\/rules\/rule_name.rules<\/pre>La sintaxis de la regla Suricata es la siguiente:<\/p>
action protocol source-ip\/port -> destination-ip\/port (options; options; ... )<\/pre>Aquí lo que significa cada parámetro y sus valores aceptados:<\/p>
![\"\"](\"https:\/\/imagedelivery.net\/LqiWLm-3MGbYHtFuUbcBtA\/wp-content\/uploads\/sites\/40\/2022\/12\/Linux-cheat-sheet-ES.png\/w=1024,h=1024,fit=scale-down\")
<\/a><\/figure>![\"Cambiar](\"https:\/\/imagedelivery.net\/LqiWLm-3MGbYHtFuUbcBtA\/wp-content\/uploads\/sites\/40\/2024\/05\/Cambiar-sistema-operativo-hPanel.png\/public\")
<\/figure>