째로

실행 환경: Ubuntu 22.04 CLI 1. 설치 sudo apt-get update sudo apt-get install software-properties-common sudo add-apt-repository ppa://oisf/suricata-stable sudo apt-get install suricata sudo suricata --build-info 가끔 sudo apt-get update 에서 오류가 날 때가 있는데, 이 때는 reboot 를 하거나 시간 동기화가 필요하다. 시간 동기화를 위해서는 rdate 명령을 실행하거나 sudo hwclock --hctosys 를 실행한다. 탐지 rule 업데이트 sudo suricata-update 2. suricata 실행 전 HOME_NET ..

Suricata rule은 크게 action, header, rule 옵션으로 나눈다. rule header option Action Protocol Src IP Src Port ->/ Dst IP Dst Port Option ex) alert tcp any any -> any 80 (msg:"tistory.com access"; content:"GET /"; content:"Host"; content:"tistory.com"; sid:100001; rev:1;) => tcp 로 접속하는 모든 주소로부터 모든 80번 포트에 도달하는 접속을 경고 발생 및 로그 기록한다. 옵션은 "GET /", "Host", "tistory.com" 내용이 포함될 때 "tistory.com access" 메세지를 남긴다. ..