Suricata: デフォルトで JSON を使用するマルチスレッド ネットワーク エンジン

要点

1. アーキテクチャによるマルチスレッド: パケット キャプチャ (Linux では AF_PACKET、高スループットの AF_XDP) はコア全体にワーカー パイプラインを供給するため、エンジンは第 1 世代 IDS の単一キューのボトルネックなしに最新のハードウェアで拡張できます。サイジングは、帯域幅だけではなく、CPU と RAM/パケットを加えたものです。
2. EVE JSON はデータ モデルの違いです。すべてのアラート、フロー、プロトコルのメタデータ レコードは構造化された JSON (http.uri、tls.sni、dns.name などのフィールド) として出荷され、カスタム解析なしで Elastic/OpenSearch パイプラインに直接配信されます。この 1 つの設計選択が、Suricata が SOC スタックの投票で最も多くの票を獲得した理由です。
3. プロトコル認識は署名を超えています。エンジンは TLS ハンドシェイク メタデータ (JA3 クラス ハッシュ、SNI、証明書フィールド)、HTTP ヘッド、DNS クエリ、SMB/ファイル トレースをログに記録するため、センサーはネットワーク メタデータ収集としても機能します。多くのチームは、アラートの前であっても、主にこれを目的として Suricata を実行しています。
4. ルールの互換性により運用上の安心感が得られます。Snort 形式のルールはほとんど重複して読み込まれます (ET ルールセットは両方に公開されます)。そのため、脅威インテリジェンスのサブスクリプションは、構文の追加が控えめな (Suricata は app-layer-events などの独自のキーワードを追加します) Snort バックグラウンド転送からのエンジンとスキルにまたがります。
5. IPS モードは実際のものです。NFQUEUE またはドロップ ルールを使用した AF_PACKET 経由でインラインですが、この状態には HA フレンドと慎重なポリシーが必要です。ほとんどの資産では、検出として Suricata をパッシブにし、防止のためにファイアウォール ルールを使用し、資産がフェールクローズのリスクを正当化する場合にのみインラインにアップグレードします。
6. 弊社のセキュリティ ツール コレクションのどこに位置するか: Snort と並んで、署名 IDS の最新のデフォルトです。より豊富なメタデータ出力により、Zeek クラス NSM に次ぐ最初の SOC スタックのセンサー コンポーネントとして認定され、Trivy/openvas が脆弱性をカバーし、Wazuh がエンドポイント アグリゲーションをカバーします。

現場ノート

Suricata 導入でクライアントを魅了したのはアラートではなく、メタデータでした。EVE JSON が Elastic スタックに到達し、最初のハント クエリにより、謎の停止と TLS 更新ウィンドウが数分で調整されました。センサーは、インシデントごとにラック スペースを獲得します。

よくある質問