SELKS Suricata 檢測實(shí)戰(zhàn)從告警到誤報(bào)判定一次跑通【免費(fèi)下載鏈接】Clear-NDR-ISOA Suricata based NDR distribution項(xiàng)目地址: https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO凌晨收到一條 SID 告警你需要在三十秒內(nèi)判斷它是真威脅還是誤報(bào)。SELKS 是基于 Suricata 的網(wǎng)絡(luò)檢測發(fā)行版把 Suricata、Elasticsearch、Kibana 打包成容器開箱即用。這篇文章帶你用倉庫里現(xiàn)成的腳本走完出告警、查流量、調(diào)規(guī)則的完整閉環(huán)。4 條命令啟動(dòng)5 分鐘看到第一份檢測結(jié)果先 clone 倉庫git clone https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO進(jìn)入 docker 目錄用-i指定要監(jiān)聽的網(wǎng)卡非交互模式下接口名寫錯(cuò)腳本會直接退出cd Clear-NDR-ISO/docker sudo ./easy-setup.sh -i eth0 -nsetup 腳本會寫.env并拉取鏡像然后啟動(dòng)整套容器docker-compose up -d判斷是否就緒看 Suricata 的啟動(dòng)輸出出現(xiàn)Engine started才算真正開始檢測docker logs suricata --tail 50瀏覽器訪問本機(jī)https://127.0.0.1/證書自簽用selks-user/selks-user登錄。原始日志落在docker/containers-data/suricata/logs/其中eve.json就是檢測結(jié)果的 JSON 流。SELKS 文件傳輸事件監(jiān)控視圖按場景拆每個(gè)動(dòng)作背后是一條真實(shí)命令當(dāng)你需要驗(yàn)證新規(guī)則時(shí)先拿 pcap 回放。readpcap.sh會起一個(gè)一次性 Suricata 容器讀取 pcap 并套上當(dāng)前規(guī)則單包模式便于逐條復(fù)現(xiàn)sudo ./scripts/readpcap.sh /path/to/capture.pcap跑完終端直接打印告警行結(jié)果文件落在docker/containers-data/suricata/logs/eve.json。當(dāng)你需要只跑自己的規(guī)則時(shí)加-S讓回放只加載這一個(gè)規(guī)則文件排除現(xiàn)有規(guī)則集的干擾sudo ./scripts/readpcap.sh -S /path/to/my.rules capture.pcap當(dāng)你想量化誤報(bào)率時(shí)同一份 pcap 加-a切到 autofp 模式Suricata 會自動(dòng)統(tǒng)計(jì)每條規(guī)則的誤報(bào)比例不用逐條肉眼核sudo ./scripts/readpcap.sh -a /path/to/capture.pcapSELKS KRB5 協(xié)議事件儀表盤當(dāng)你需要日常更新規(guī)則或輪轉(zhuǎn)日志時(shí)別手改scirius.rules用這兩個(gè)腳本docker/containers-data/cron-jobs/daily/下每天 2 點(diǎn)自動(dòng)跑也可以手動(dòng)觸發(fā)sudo ./containers-data/cron-jobs/daily/scirius-update-suri-rules.sh sudo ./containers-data/cron-jobs/daily/suricata-logrotate.sh成功時(shí)打印done.失敗打印ERROR。少有人用的組合參數(shù)-c加--cleanup可以在回放前清掉 Elasticsearch 索引、Arkime 數(shù)據(jù)和 Suricata 日志做干凈實(shí)驗(yàn)用注意它會rm掉docker/containers-data/suricata/logs/下的歷史文件。--runmode在 readpcap.sh 里寫死單包用single加-a自動(dòng)切autofp改 yaml 里runmode: workers不影響回放。想自定義日志輸出位置直接給容器加-l 目錄容器里等效為--set default-log-dir目錄具體鍵名以項(xiàng)目最新文檔為準(zhǔn)。新手常踩的 3 個(gè)坑Q腳本提示 Please run this script as root or with sudo少加了 sudoreadpcap.sh、cleanup.sh 都要 root 才能訪問 docker 守護(hù)進(jìn)程。Qeasy-setup.sh -n直接退出非交互模式必須帶-i 接口且接口必須真實(shí)存在于/sys/class/net/先ip a確認(rèn)再寫。Qreadpcap.sh 報(bào) Only one of -s and -S can be used-s是疊加現(xiàn)有規(guī)則集加載-S是排他加載二者只能選一個(gè)。接下來往哪走部署細(xì)節(jié)看docker/README.md定時(shí)任務(wù)機(jī)制看docker/containers-data/cron-jobs/README.md字段含義拿不準(zhǔn)就翻doc/example-logs/里的 JSON 示例。規(guī)則開關(guān)都集中在docker/containers-data/suricata/etc/selks6-addin.yaml的rule-files段注釋即啟用。【免費(fèi)下載鏈接】Clear-NDR-ISOA Suricata based NDR distribution項(xiàng)目地址: https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考