suricata

Suricata 网络入侵检测

补充说明

Suricata 是高性能 IDS/IPS，按规则检测网络流量并输出告警。它可运行在镜像/抓包模式或 inline 模式，规则由 ET Open 等来源提供。

常用示例

suricata -T -c /etc/suricata/suricata.yaml
suricata -c /etc/suricata/suricata.yaml -i eth0
suricata -c /etc/suricata/suricata.yaml -i eth0 -S /etc/suricata/rules/local.rules
suricata -c /etc/suricata/suricata.yaml -r capture.pcap
suricata-update
suricatasc -c uptime

日志：

tail -f /var/log/suricata/eve.json
tail -f /var/log/suricata/fast.log

易错点与排错

• 先用 -T 校验配置和规则；规则语法错误会导致启动失败。
• 接口、af-packet 和镜像流量配置要匹配；抓不到包先看接口和 BPF。
• 规则集更新可能引入大量误报；先在测试环境验证。
• inline/IPS 模式需要正确转发和丢包策略；IDS 模式只告警不阻断。
• 高流量会占满 CPU；用多线程、AF_PACKET 和规则裁剪。
• eve.json 是结构化日志，解析前先确认字段和轮转。
• VLAN、隧道和分片会影响规则匹配；按网络拓扑调整。
• 告警需要关联分析和处置，不能只看数量。

相关命令

• suricata — IDS/IPS
• suricata-update — 规则更新
• tcpdump — 抓包验证