動作確認環境
事情によりバージョンをダウングレードしました。新しいバージョンでも動作するはずです。
- 仮想環境 VMware Workstation Player 12.5.9
- OS Windows 10 Pro 64bit
仮想環境
- OS CentOS 7.4 (1708) minimalインストール
- メモリ 2GB
- HDD 250GB
前提条件
- gcc 8.1.0
- cmake 3.11.4
- MySQL 5.7.22
- OpenSSL 1.1.0.h
- Apache 2.4.33
- PHP 7.2.6
#ユーザ作成
useradd suricata
passwd suricata
パスワードを入力
visudo
suricataユーザにsudo権限を与えるため、sudoersファイル（sudoコマンドのための設定ファイル）に以下の文を追記する。
suricata ALL=(ALL) ALL
ダウンロード・展開
最新バージョン確認
Download | Suricata
yum -y install epel-release
yum -y install libpcap-devel pcre-devel libyaml-devel file-devel zlib-devel jansson-devel nss-devel libcap-ng-devel libnet-devel tar make libnetfilter_queue-devel lua-devel
/usr/local/srcディレクトリに移動する。
cd /usr/local/src
ソースファイルをダウンロードする。
wget https://www.openinfosecfoundation.org/download/suricata-4.0.4.tar.gz
ダウンロードしたファイルを展開する。
tar xvzf suricata-4.0.4.tar.gz
展開したディレクトリに移動する。
cd suricata-4.0.4
コンパイル・インストール
./configure --prefix=/usr --sysconfdir=/etc --localstatedir=/var --enable-nfqueue --enable-lua
make
make install
セットアップ
ディレクトリを作成する。
mkdir /var/log/suricata
mkdir /etc/suricata
ディレクトリの所有者・グループを変更する。
chown -R suricata:suricata /var/log/suricata/
chown -R suricata:suricata /etc/suricata/
必要なファイルをコピーする。
cp classification.config /etc/suricata
cp reference.config /etc/suricata
cp suricata.yaml /etc/suricata
cp -p /etc/suricata/suricata.yaml /etc/suricata/suricata.yaml.org
suricata.yamlを編集する。
vi /etc/suricata/suricata.yaml
HOME_NET: "[サーバのネットワーク]"を追記する。
HOME_NET: "[192.168.0.0/16,10.0.0.0/8,172.16.0.0/12]"はコメントアウトする。
サーバのネットワークは、サーバのIPアドレスが192.168.10.100の場合、192.168.10.0/24となる。
vars:
address-groups:
HOME_NET: "[192.168.10.0/24]"
#HOME_NET: "[192.168.0.0/16,10.0.0.0/8,172.16.0.0/12]"
続けてwindows: [0.0.0.0/0]をコメントアウトする。
linux: [192.168.10.0/24]にサーバのネットワークを追記する。
host-os-policy:
# Make the default policy windows.
# windows: [0.0.0.0/0]
windows: []
bsd: []
bsd-right: []
old-linux: []
linux: [192.168.10.0/24]
old-solaris: []
solaris: []
hpux10: []
hpux11: []
irix: []
macos: []
vista: []
windows2k3: []
ディレクトリの下層に移動する。
cd ..
ルールセットの設定
wget https://sourceforge.net/projects/oinkmaster/files/oinkmaster/2.0/oinkmaster-2.0.tar.gz
ダウンロードしたファイルを展開する。
tar -xvzf oinkmaster-2.0.tar.gz
展開したディレクトリに移動する。
cd oinkmaster-2.0
必要なファイルをコピーする。
cp -p oinkmaster.pl /usr/local/bin
cp -p oinkmaster.conf /etc/
cp -p oinkmaster.1 /usr/share/man/man1/
cp -p /etc/oinkmaster.conf /etc/oinkmaster.conf.org
oinkmaster.confを編集する。
vi /etc/oinkmaster.conf
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gzを追記する。
oinkmaster.conf
# Example for Community rules
# url = //Download/comm_rules/Community-Rules.tar.gz
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz
ディレクトリを作成する。
mkdir /etc/suricata/rules
oinkmaster.plを実行する。
/usr/local/src/oinkmaster-2.0/oinkmaster.pl -C /etc/oinkmaster.conf -o /etc/suricata/rules
ディレクトリを移動する。
cd /etc/suricata
ファイルをダウンロードする。
wget http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz
ダウンロードしたファイルを展開する。
tar -xvzf emerging.rules.tar.gz
ディレクトリの所有者・グループを変更する。
chown -R suricata:suricata /etc/suricata/rules
suricata.yamlを編集します。
vi /etc/suricata/suricata.yaml
以下の文をコメントアウトする。
# - http-events.rules # available in suricata sources under rules dir
# - smtp-events.rules # available in suricata sources under rules dir
# - dns-events.rules # available in suricata sources under rules dir
# - tls-events.rules # available in suricata sources under rules dir
# classification-file: /etc/suricata/classification.config
# reference-config-file: /etc/suricata/reference.config
以下の文を追記します。
classification-file: /etc/suricata/rules/classification.config
reference-config-file: /etc/suricata/rules/reference.config
エラー対策
threshold.configのエラー
suricata -c /etc/suricata/suricata.yaml -i eth0でsuricataを実行するが、threshold.configのファイルが無くエラーで停止する。
19/3/2018 -- 17:09:29 - <Notice> - This is Suricata version 4.0.4 RELEASE
19/3/2018 -- 17:09:31 - <Warning> - [ERRCODE: SC_ERR_FOPEN(44)] - Error opening file: "/etc/suricata//threshold.config": No such file or directory
19/3/2018 -- 17:09:32 - <Notice> - all 1 packet processing threads, 4 management threads initialized, engine started.
対策として、空のファイルthreshold.configを作成する。
vi /etc/suricata//threshold.config
再度、suricataを実行する。
suricata -c /etc/suricata/suricata.yaml -i eth0
ログが表示される。Ctrl+Cで動作を停止させる。
libhtp.so.2のエラー
suricata -c /etc/suricata/suricata.yaml -i eth0でsuricataを実行するが、libhtp.so.2のエラーで停止する。
suricata: error while loading shared libraries: libhtp.so.2: cannot open shared object file: No such file or directory
対策として、ldconfigを実行してから、再度、suricataを実行する。
suricata -c /etc/suricata/suricata.yaml -i eth0
ログが表示される。Ctrl+Cで動作を停止させる。
Suricataのログを確認
ディレクトリを移動する。
cd /var/log/suricata
ログを表示する。
tail -n 50 stats.log
stats.logのログの内容。
stats.log
decoder.udp | Total | 46
decoder.icmpv4 | Total | 1
decoder.icmpv6 | Total | 12
decoder.avg_pkt_size | Total | 358
decoder.max_pkt_size | Total | 1468
flow.tcp | Total | 26
flow.udp | Total | 10
flow.icmpv6 | Total | 6
app_layer.flow.dns_udp | Total | 4
app_layer.tx.dns_udp | Total | 4
app_layer.flow.failed_udp | Total | 6
flow.spare | Total | 10000
flow_mgr.flows_checked | Total | 9
flow_mgr.flows_notimeout | Total | 9
flow_mgr.rows_checked | Total | 65536
flow_mgr.rows_skipped | Total | 65527
flow_mgr.rows_maxlen | Total | 1
tcp.memuse | Total | 573440
tcp.reassembly_memuse | Total | 81920
dns.memuse | Total | 1264
flow.memuse | Total | 7086400
------------------------------------------------------------------------------------
Date: 3/19/2018 -- 17:10:47 (uptime: 0d, 00h 00m 18s)
------------------------------------------------------------------------------------
Counter | TM Name | Value
------------------------------------------------------------------------------------
（以下略）
自動起動できるようファイルを作成する。
vi /usr/lib/systemd/system/suricata@.service
suricata@.service
[Unit]
Description=Suricata Intrusion Detection Service listening on '%I'
After=network.target
[Service]
Type=forking
ExecStart=/usr/bin/suricata -c /etc/suricata/suricata.yaml -i %i -D
ExecReload=/bin/kill -HUP $MAINPID
[Install]
WantedBy=multi-user.target
作成後、更新する。
systemctl daemon-reload
システム再起動時の自動起動設定
systemctl enable suricata@eth0.service
以下のような表示をする。
Created symlink from /etc/systemd/system/multi-user.target.wants/suricata@eth0.service to /usr/lib/systemd/system/suricata@.service.
起動
systemctl start suricata@eth0.service
ステータス確認
systemctl status suricata@eth0.service
以下のような表示をする。
● suricata@eth0.service - Suricata Intrusion Detection Service listening on 'eth0'
Loaded: loaded (/usr/lib/systemd/system/suricata@.service; enabled; vendor preset: disabled)
Active: active (running) since 月 2018-03-19 17:13:21 JST; 13s ago
Process: 13350 ExecStart=/usr/bin/suricata -c /etc/suricata/suricata.yaml -i %i -D (code=exited, status=0/SUCCESS)
Main PID: 13351 (Suricata-Main)
CGroup: /system.slice/system-suricata.slice/suricata@eth0.service
mq13351 /usr/bin/suricata -c /etc/suricata/suricata.yaml -i eth0 -...
3月 19 17:13:21 knut systemd[1]: Starting Suricata Intrusion Detection Se.....
3月 19 17:13:21 knut suricata[13350]: 19/3/2018 -- 17:13:21 - <Notice> - T...E
3月 19 17:13:21 knut systemd[1]: Started Suricata Intrusion Detection Ser...'.
Hint: Some lines were ellipsized, use -l to show in full.
参考
【初心者向け】オープンソースのIPS「Suricata」をCentOSに構築した話 - Qiita
Suricata - ArchWiki
Suricata/Installation-and-basic-configuration - aldeid
suricata: error while loading shared libraries: libhtp-0.5.10.so.1 - Google グループ