tractatus@lapipaplena:/# _

suricata

Sistema de detección de intrusiones de red (IDS). Se basa en reglas para detectar una variedad de ataques/sondeos mediante la búsqueda de contenido de paquetes. Este nuevo motor admite la detección automática de múltiples subprocesos (IP, TCP, UDP, ICMP, HTTP, TLS, FTP y SMB), descompresión de Gzip y coincidencia rápida de IP.

Especificar la IP local en el archivo de configuración:

# nano /etc/suricata/suricata.yaml

vars:

address-groups:

HOME_NET: "[192.168.18.14/24]"

# systemctl status suricata.service

ver el estado del servicio

# suricata --list-runmodes

listar los run modos posibles

# suricata -c /etc/suricata/suricata.yaml -i eth0 -D

forma básica, activando el daemon

# suricata-update

actualizar las reglas

# suricata -T

test de la configuración

# suricata -T -c /etc/suricata/suricata.yaml -v

lo mismo especificando archivo de configuración y con la máxima información

# suricata --build-info

información de compilación con la que se compiló el Suricata

# suricata --engine-analysis

imprimir informes sobre el análisis de diferentes secciones

# suricata --dump-config

vuelca la configuración cargada desde el archivo de configuración en la terminal

# suricata --dump-features

muestra las características proporcionadas por los módulos de Suricata

# suricata --list-app-layer-protos

enumerar todos los protocolos de capa de aplicación compatibles

# suricata --list-keywords=all | less

enumera todas las palabras clave de reglas admitidas

# suricata-update update-sources

ver las reglas disponibles y obtener el índice maestro de los hosts OISF

# suricata-update list-sources

revisar las reglas disponibles

# suricata-update list-enabled-sources

ver qué conjuntos de reglas están activos

# suricata-update enable-source oisf/trafficid

habilitar la regla "oisf/trafficid"

# suricata-update

despues de cada modificación, actualizar las reglas

# nano /var/log/suricata/stats.log

estadísticas y análisis de rendimiento

# nano /var/lib/suricata/rules/suricata.rules

archivo de reglas

# tail -f /var/log/suricata/fast.log

comprobar las alertas

# grep "$(date +%Y-%m-%d)" /var/log/suricata/eve.json | jq 'select(.event_type=="alert") | .alert.signature' | sort | uniq -c | sort -nr

ver cuántas alertas de cada tipo se ha tenido hoy

# tail -f /var/log/suricata/eve.json | jq 'select(.event_type=="alert") | {hora: .timestamp, alerta: .alert.signature, gravedad: .alert.severity, src_ip: .src_ip, dst_ip: .dest_ip}'

ver intentos de ataque en directo

# sudo tail -f /var/log/suricata/eve.json | jq 'select(.src_ip=="192.168.18.14" and .event_type=="alert") | {hora: .timestamp, alerta: .alert.signature, gravedad: .alert.severity, dst_ip: .dest_ip}'

mirar si el equipo hace cosas raras

# grep "$(date +%Y-%m-%d)" /var/log/suricata/eve.json | jq 'select(.src_ip=="192.168.18.14" and .alert.severity <= 2) | .alert.signature' | sort | uniq -c

ver si ha hecho algo más grave en las últimas horas

1.-

Comprobaciones con ataques

# jq 'select(.event_type=="alert") | .alert.signature' /var/log/suricata/eve.json | sort | uniq -c | sort -nr | head -10

qué tipo de alertas son

# jq 'select(.event_type=="alert") | .src_ip' /var/log/suricata/eve.json | sort | uniq -c | sort -nr | head -10

de dónde vienen. IPs origen

# jq 'select(.event_type=="alert") | .timestamp[11:13]' /var/log/suricata/eve.json | sort | uniq -c

si hay algún patrón horario

2.-

Crear una regla local para que suricata ignore conexiones a ifconfig.me, como ejemplo.

# nano /etc/suricata/rules/local.rules

# Ignorar completamente cualquier cosa relacionada con ifconfig.me (sin logs, sin alertas)

drop dns any any -> any any (msg:"IGNORED - ifconfig.me DNS"; dns.query; content:"ifconfig.me"; nocase; sid:9991001; rev:1;)

drop tcp any any -> any any (msg:"IGNORED - ifconfig.me directo"; content:"ifconfig.me"; nocase; sid:9991002; rev:1;)

# Ignorar APT (actualizaciones normales)

drop tcp any any -> any any (msg:"IGNORED - APT updates"; http.user_agent; content:"APT"; nocase; sid:9991003; rev:1;)

# suricata -T -c /etc/suricata/suricata.yaml

recargar

# systemctl restart suricata

reiniciar el servicio

3.-

Otras comprobaciones sobre quien abre conexiones ifconfig.me

$ grep -r "ifconfig.me" /etc/cron* /var/spool/cron/ 2>/dev/null

buscar en todos los crontabs quien abre conexión a ifconfig.me

$ grep -r "ifconfig.me" ~/.* ~/.config/ ~/.local/ 2>/dev/null | grep -v ".cache"

buscar en servicios de systemd quien abre conexión a ifconfig.me

# grep -r "ifconfig.me" /etc/systemd/system/ 2>/dev/null

lo mismo