Suricata规则配置

Posted 挖洞的土拨鼠

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了Suricata规则配置相关的知识，希望对你有一定的参考价值。

Suricata 规则配置

IDS/IPS/WAF

IPS、IDS和WAF分别是入侵防御系统和入侵检测系统以及WEB应用防火墙的简称，很多人说这些玩意不就是盒子吗已经过时了，其实不是，SIEM其实是有效的正规的打法，对于内网安全监控室非常必要的东西。之前大家的方式都是摒弃盒子思维，觉得盒子不靠谱防御不了真正的攻击行为。这样的理解难说不是国内众多盒子厂商（本人待过很多）走低价竞争路线的一个恶性的结果。其实在数据驱动安全的几天，盒子的作用绝不是简单的匹配规则阻断攻击这么简单的了，而是成为内网信息收集的一个Agent节点，作为云化的安全能力中心节点的触角存在，这都是非常有意义而且有必要的。

当然，我们还需要其他的更多的日志，不仅是网络层面的，需要主机层的日志信息、服务应用的日志信息等等。

规则和验证脚本

那么作为云的触角和云的核心节点（安全能力节点）有两种能力是必须具备的。第一脆弱性的发现能力（POC、EXP）；第二就是威胁的监控能力，就是匹配规则。二者都来源于对攻击的理解。POC和EXP是模仿攻击的操作。规则是攻击行为的特征，是检测威胁的有效手段。废话不多说了，今天我们来学习Suricata规则。

Suricata规则范式

  alert tcp any any -> any any (msg:"";content:"";sid:1;rev:1;)

其实格式就是：
动作 协议 源地址 源端口 方向 目的地址 目的端口 (规则内容)
备注1：规则内容前面称为规则头部分
备注2：规则内容用分号分割，每一项都是一个key-value的键值对 ,如上图示例

Suricata 规则头

  • 动作：

    • alert 告警
    • log 记录
    • pass 通过
    • drop 丢弃

  • 协议：

    • TCP
    • UDP
    • ICMP
    • IP
    • Any

  • 源和目的IP：

    • IP地址 举例 10.1.1.1 或者 ! 10.1.1.1 或则[1.1.1.1 , 1.1.1.2] 或者! [1.1.1.1 , 1.1.1.2]
    • IP地址段（CIDR）[10.0.0.0/24]
    • Any

  • 元和目的端口：

    • 端口 80 或者 [80,443] 当然 ! 80 或者 ! [80,443] 再有 [1:80,![2,3]] [80:82]
    • Any

  • 方向：

    • 单项 ->
    • 双向 <>

Suricata 规则内容

Meta-settings

  • msg:"description"; 描述字段，报警的时候的一些描述信息，比如某某某攻击等的
  • sid: 1; 签名ID编号 1-
  • rev: 3; 修订版本 1-
  • gid: 2; 组ID
  • classtype:trojan-activity; 查看classification.config文件中的配置，后面有优先级。
  • reference: bugtraq, 123; http://www.securityfocus.com/bid 或者 reference: url, www.info.nl
  • priority:1; 优先级1-255 1-4常用 优先级越小越优先
  • target:[src_ip|dest_ip] 报警时候回上报这个格式的，含义是[攻击源|攻击目标]

Header-Keyword

  • ttl:10 数据包中的ttl
  • ipopts:
    • rr 记录路由
    • eol list最后
    • nop
    • ts
    • sec
    • esec
    • lsrr
    • ssrr
    • satid
    • any
  • sameip;当数据报文的源和目的IP相同时候
  • ip_proto:<name|id>
    • 1 ICMP
    • 6 TCP
    • 17 UDP
  • id:1 每一个IP报文发送后id+1，一个IP报文的多个分片ID一致
  • geoip
    - geoip: src, RU;
    - geoip: both, CN, RU;
    - geoip: dst, CN, RU, IR;
    - geoip: both, US, CA, UK;
    - geoip: any, CN, IR;
  • TCP关键字：
    • ack:0;
    • seq:0;
    • window:55808;
    • 等等...
  • ICMP关键字：
    • itype:8;
    • itype:>10;
    • icode 和itype类似
    • icmp_id 和 icmp_seq
  • fragbits和fragoffset

prefilter 预过滤

prefilter之前的规则属于预过滤规则

payload 关键字

  • content: ”............” ->
    • content:“a|0D|bc”;
    • content:”|61 0D 62 63|";
    • content:”a|0D|b|63|”;
  • pcre:""
    • content:"index.";|http_uri;pcre:"";就可以匹配出content符合 index.的payload
  • nocase; 忽略大小写
  • depth:3 payload出现的具体位置
  • offset:4 便宜量
  • distance:2
    • content:"abc";content:"dev";distance:"1" -> payload:"abcsdev" 匹配成功
  • within:4 判断 payload -> "abcxxxdefxxxddsew" content:"abc";content:"def";within:3 -> 第二个匹配段的结尾与第一个匹配段的结尾的距离在within的的数值之内。
    • content:"abc";content:"def";distance:4;within:9 -> abcxxxxdef 匹配成功 xxxx 距离4 f到从的距离是xxxx+payload2的长度 = 3+4 = 7
  • isdataat:8 看看content结尾字符后面第isdataat位置是否还有数据
  • dsize:345; payload长度,也可以是>或者<
  • rpc 和RPC相关
    • rpc:100009,*,*;
  • replace:"asd"; content:"abvd";replace:"abcd" 替换，只能用于IPS之中
  • fast_pattern 略

HTTP 关键字

请求字段

Keyword Sticky or Modifier Direction
http_uri Modifier Request
http_raw_uri Modifier Request
http_method Modifier Request
http_request_line Sticky Buffer Request
http_client_body Modifier Request
http_header Modifier Both
http_raw_header Modifier Both
http_cookie Modifier Both
http_user_agent Modifier Request
http_host Modifier Request
http_raw_host Modifier Request
http_accept Sticky Buffer Request
http_accept_lang Sticky Buffer Request
http_accept_enc Sticky Buffer Request
http_referer Sticky Buffer Request
http_connection Sticky Buffer Request
http_content_type Sticky Buffer Both
http_content_len Sticky Buffer Both
http_start Sticky Buffer Both
http_protocol Sticky Buffer Both
http_header_names Sticky Buffer Both

响应字段

Keyword Sticky or Modifier Direction
http_stat_msg Modifier Response
http_stat_code Modifier Response
http_response_line Sticky Buffer Response
http_header Modifier Both
http_raw_header Modifier Both
http_cookie Modifier Both
http_server_body Modifier Response
file_data Sticky Buffer Response
http_content_type Sticky Buffer Both
http_content_len Sticky Buffer Both
http_start Sticky Buffer Both
http_protocol Sticky Buffer Both
http_header_names Sticky Buffer Both

以上用法

content:"xxxxxx";http_xxxx;
特例：

  • uricontent:"xxxx";
  • urilen:10 > <也可以
  • http_header 不包含URI部分

流信息关键字

  • flow:to_client 关键字：

    • to_client
    • to_server
    • from_client
    • from_server
    • established
    • not_established
    • stateless
    • only_stream
    • no_stream
    • only_frag
    • no_frag

  • stream_size

    • >
    • <
    • =
    • !=
    • >=
    • <=

文件关键字

  • filename:"a.php";
  • fileext:"jpg";
  • filemagic:"";
  • filestore:[request|response],[file|tx|ssn]
  • filenmd5:[!]filename; filenmd5:md5-blacklist;
  • filesize:5 > < 也可以

阈值

  • threshold: type <threshold|limit|both>, track <by_src|by_dst>, count , seconds
    • threshold: type threshold, track by_src, count 10, seconds 60;
  • detection_filter: track <by_src|by_dst>, count , seconds

DNS关键字

dns_query;content:"域名"

以上是关于Suricata规则配置的主要内容，如果未能解决你的问题，请参考以下文章

Suricata/Snort规则参考

教程搬运分析并编写suricata规则（内含两个示例）

在pfSense上设置Suricata

Suricata简介

Suricata详解

suricata 程序架构