Configurando o Suricata para Monitoramento de Rede

Quando Usar

• Implementar um IDS/IPS de alta performance capaz de processamento de pacotes multi-thread para links de rede de 10+ Gbps
• Monitorar tráfego de rede com inspeção ciente de protocolo para HTTP, TLS, DNS, SMB e outros protocolos
• Gerar logs estruturados EVE JSON para ingestão direta em SIEM sem parsers customizados
• Executar em modo inline (IPS) para bloquear ativamente tráfego malicioso em pontos de estrangulamento da rede
• Combinar detecção baseada em assinaturas com detecção de anomalias de protocolo e extração de arquivos

Não use como uma solução de segurança autônoma sem controles complementares, para inspeção de tráfego criptografado sem capacidades de descriptografia TLS, ou em sistemas com CPU/memória insuficientes para o volume de tráfego esperado.

Pré-requisitos

• Suricata 7.0+ instalado a partir do PPA ou fonte (suricata --build-info)
• Interface de rede em uma porta span, tap ou bridge inline para captura de tráfego
• Suporte AF_PACKET ou DPDK para captura de pacotes de alta performance
• Assinatura do ruleset Emerging Threats Open ou Pro (ou regras Snort Talos via oinkcode)
• Ferramenta suricata-update para gerenciamento automatizado de regras
• Elasticsearch/Kibana ou Splunk para análise e visualização de logs

Fluxo de Trabalho

Passo 1: Instalar Suricata e Dependências

# Install from PPA (Ubuntu/Debian)
sudo add-apt-repository ppa:oisf/suricata-stable
sudo apt update
sudo apt install -y suricata suricata-update jq

# Verify installation
suricata --build-info | grep -E "Version|AF_PACKET|NFQueue"

# Or install from source for latest features
sudo apt install -y libpcre2-dev build-essential autoconf automake libtool \
  libpcap-dev libnet1-dev libyaml-dev libjansson-dev libcap-ng-dev \
  libmagic-dev libnetfilter-queue-dev libhiredis-dev rustc cargo cbindgen
git clone https://github.com/OISF/suricata.git
cd suricata && git clone https://github.com/OISF/libhtp.git -b 0.5.x
./autogen.sh && ./configure --prefix=/usr --sysconfdir=/etc --localstatedir=/var \
  --enable-nfqueue --enable-af-packet
make -j$(nproc) && sudo make install install-conf

Passo 2: Configurar Interfaces de Rede

# Disable NIC offloading features
sudo ethtool -K eth1 gro off lro off tso off gso off rx off tx off sg off

# Set interface to promiscuous mode
sudo ip link set eth1 promisc on

# For high-performance deployments, configure AF_PACKET with multiple threads
# Edit /etc/suricata/suricata.yaml

Passo 3: Configurar suricata.yaml

# /etc/suricata/suricata.yaml (seções chave)

# Variáveis de rede
vars:
  address-groups:
    HOME_NET: "[10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16]"
    EXTERNAL_NET: "!$HOME_NET"
    HTTP_SERVERS: "$HOME_NET"
    DNS_SERVERS: "$HOME_NET"
    SMTP_SERVERS: "$HOME_NET"

# Caminho padrão das regras
default-rule-path: /var/lib/suricata/rules
rule-files:
  - suricata.rules

# Configuração AF_PACKET para alta performance
af-packet:
  - interface: eth1
    threads: auto
    cluster-id: 99
    cluster-type: cluster_flow
    defrag: yes
    use-mmap: yes
    ring-size: 200000
    buffer-size: 262144

# Logging EVE JSON (formato de saída principal)
outputs:
  - eve-log:
      enabled: yes
      filetype: regular
      filename: eve.json
      pcap-file: false
      community-id: true
      types:
        - alert:
            tagged-packets: yes
            payload: yes
            payload-printable: yes
            http-body: yes
            http-body-printable: yes
        - http:
            extended: yes
        - dns:
            query: yes
            answer: yes
        - tls:
            extended: yes
        - files:
            force-magic: yes
            force-hash: [md5, sha256]
        - smtp:
            extended: yes
        - flow
        - netflow
        - anomaly:
            enabled: yes
        - stats:
            totals: yes
            threads: yes

  # Logging PCAP para pacotes capturados que disparam alertas
  - pcap-log:
      enabled: yes
      filename: alert-%n.pcap
      limit: 100mb
      max-files: 50
      mode: normal
      use-stream-depth: no
      honor-pass-rules: no

# Configurações do motor de stream
stream:
  memcap: 512mb
  checksum-validation: no
  reassembly:
    memcap: 1gb
    depth: 1mb
    toserver-chunk-size: 2560
    toclient-chunk-size: 2560

# Motor de detecção
detect:
  profile: high
  custom-values:
    toclient-groups: 200
    toserver-groups: 200
  sgh-mpm-context: auto
  inspection-recursion-limit: 3000

# Detecção e parsing de protocolo
app-layer:
  protocols:
    http:

…