Implementando Prevenção de Intrusão de Rede com Suricata

Visão Geral

Suricata é um motor de detecção de ameaças de rede de código aberto e alto desempenho, desenvolvido pela Open Information Security Foundation (OISF). Ele funciona como um IDS (Sistema de Detecção de Intrusão), IPS (Sistema de Prevenção de Intrusão) e ferramenta de monitoramento de segurança de rede. O Suricata realiza inspeção profunda de pacotes usando conjuntos de regras extensos, análise de protocolo e capacidades de extração de arquivos. No modo IPS, o Suricata inspeciona pacotes em linha e pode bloquear ativamente tráfego malicioso. Esta habilidade abrange a implantação do Suricata no modo IPS, configuração de conjuntos de regras, escrita de regras personalizadas, ajuste de desempenho e integração com infraestrutura de log.

Quando Usar

• Ao implantar ou configurar a prevenção de intrusão de rede com capacidades do Suricata em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao conduzir avaliações de segurança que exigem esta implementação

Pré-requisitos

• Servidor Linux (Ubuntu 22.04+ ou CentOS 8+) com 4+ núcleos de CPU e 8GB+ de RAM
• Suricata 7.0+ instalado
• Posição de rede para implantação em linha (modo bridge ou NFQUEUE)
• Assinatura do conjunto de regras Emerging Threats Open ou ET Pro
• Ferramenta Suricata-update para gerenciamento de regras
• Infraestrutura de log (ELK Stack, Splunk ou Wazuh)

Conceitos Principais

Modos de Operação

Anatomia da Regra

As regras do Suricata seguem um formato estruturado:

action protocol src_ip src_port -> dst_ip dst_port (rule_options;)

• Ação: alert, pass, drop, reject, rejectsrc, rejectdst, rejectboth
• Protocolo: tcp, udp, icmp, ip, http, tls, dns, smtp, ftp
• Direção: -> (unidirecional), <> (bidirecional)

Categorias de Regras

• Emerging Threats Open - Conjunto de regras gratuito mantido pela comunidade com ampla cobertura
• ET Pro - Conjunto de regras comercial da Proofpoint com cobertura aprimorada
• Suricata Traffic ID - Regras de identificação de aplicativos
• Regras Personalizadas - Detecções específicas da organização

Fluxo de Trabalho

Etapa 1: Instalar o Suricata

# Add Suricata PPA (Ubuntu)
sudo add-apt-repository ppa:oisf/suricata-stable
sudo apt-get update
sudo apt-get install -y suricata suricata-update

# Verify installation
suricata --build-info
suricata -V

Etapa 2: Configurar o Suricata para Modo IPS

Editar /etc/suricata/suricata.yaml:

%YAML 1.1
---

vars:
  address-groups:
    HOME_NET: "[10.0.0.0/8,172.16.0.0/12,192.168.0.0/16]"
    EXTERNAL_NET: "!$HOME_NET"
    HTTP_SERVERS: "$HOME_NET"
    DNS_SERVERS: "[10.0.1.10/32,10.0.1.11/32]"
    SMTP_SERVERS: "$HOME_NET"

  port-groups:
    HTTP_PORTS: "80"
    SHELLCODE_PORTS: "!80"
    SSH_PORTS: "22"
    DNS_PORTS: "53"

# Modo IPS com NFQUEUE
nfq:
  mode: accept
  repeat-mark: 1
  repeat-mask: 1
  route-queue: 2
  fail-open: yes

# Configuração de threading
threading:
  set-cpu-affinity: yes
  cpu-affinity:
    - management-cpu-set:
        cpu: [0]
    - receive-cpu-set:
        cpu: [1,2]
    - worker-cpu-set:
        cpu: [3,4,5,6,7]
        mode: exclusive

# Motor de detecção
detect-engine:
  - profile: high
  - custom-values:
      toclient-groups: 50
      toserver-groups: 50
  - sgh-mpm-context: auto
  - inspection-recursion-limit: 3000

# Motor de stream
stream:
  memcap: 512mb
  checksum-validation: yes
  inline: auto
  reassembly:
    memcap: 1gb
    depth: 1mb
    toserver-chunk-size: 2560
    toclient-chunk-size: 2560

# Configuração de log
outputs:
  - eve-log:
      enabled: yes
      filetype: regular
      filename: /var/log/suricata/eve.json
      types:
        - alert:
            payload: yes
            payload-buffer-size: 4kb
            payload-printable: yes
            packet: yes
            metadata: yes
            tagged-packets: yes
        - http:
            extended: yes
        - dns:
            query: yes
            answer: yes
        - tls:
            extended: yes
        - files:
            force-magic: yes
            force-hash: [md5, sha256]
        - flow
        - netflow
        - stats:

…