Как запустить Suricata в режиме PCAP и получить результаты в fast.log - PullRequest
Новая
       45

Как запустить Suricata в режиме PCAP и получить результаты в fast.log

0 голосов
/ 10 апреля 2020

Я пытаюсь настроить suricata для оповещения на pcap в файле fast.log вместо сетевого интерфейса, как сказано в документации, но я не могу получить какой-либо вывод в fast.log.

Мои настройки

  • docker image ubuntu: последние
  • Suricata 5.0.2 
# suricata -V
This is Suricata version 5.0.2 RELEASE
  • Использование suricata.yaml по умолчанию в расположении по умолчанию /etc/suricata/suricata.yaml
  • Использование набора правил по умолчанию

То, что я ожидаю, произойдет

при запуске suricata в автономном режиме с использованием pcap с traffi c, содержащий вредоносный traffi c, я должен увидеть выходные данные в файле fast.log.

Я запускаю: 

suricata -c /etc/suricata/suricata.yaml -r malware.pcap -v

и получаю: 

[384] 10/4/2020 -- 00:41:49 - (suricata.c:1084) <Notice> (LogVersion) -- This is Suricata version 5.0.2 RELEASE running in USER mode
[384] 10/4/2020 -- 00:41:49 - (util-cpu.c:171) <Info> (UtilCpuPrintSummary) -- CPUs/cores online: 8
[384] 10/4/2020 -- 00:41:49 - (util-logopenfile.c:474) <Info> (SCConfLogOpenGeneric) -- fast output device (regular) initialized: fast.log
[384] 10/4/2020 -- 00:41:49 - (util-logopenfile.c:474) <Info> (SCConfLogOpenGeneric) -- eve-log output device (regular) initialized: eve.json
[384] 10/4/2020 -- 00:41:49 - (util-logopenfile.c:474) <Info> (SCConfLogOpenGeneric) -- stats output device (regular) initialized: stats.log
[384] 10/4/2020 -- 00:41:54 - (detect-engine-loader.c:353) <Info> (SigLoadSignatures) -- 1 rule files processed. 20015 rules successfully loaded, 0 rules failed
[384] 10/4/2020 -- 00:41:55 - (util-threshold-config.c:1126) <Info> (SCThresholdConfParseFile) -- Threshold config parsed: 0 rule(s) found
[384] 10/4/2020 -- 00:41:55 - (detect-engine-build.c:1416) <Info> (SigAddressPrepareStage1) -- 20018 signatures processed. 1153 are IP-only rules, 3900 are inspecting packet payload, 14735 inspect application layer, 103 are decoder event only
[384] 10/4/2020 -- 00:42:04 - (tm-threads.c:2170) <Notice> (TmThreadWaitOnThreadInit) -- all 9 packet processing threads, 4 management threads initialized, engine started.
[386] 10/4/2020 -- 00:42:04 - (source-pcap-file.c:176) <Info> (ReceivePcapFileLoop) -- Starting file run for malware.pcap
[386] 10/4/2020 -- 00:42:04 - (util-checksum.c:89) <Info> (ChecksumAutoModeCheck) -- No packets with invalid checksum, assuming checksum offloading is NOT used
[386] 10/4/2020 -- 00:42:04 - (source-pcap-file-helper.c:149) <Info> (PcapFileDispatch) -- pcap file malware.pcap end of file reached (pcap err code 0)
[384] 10/4/2020 -- 00:42:04 - (suricata.c:2916) <Notice> (SuricataMainLoop) -- Signal Received.  Stopping engine.
[384] 10/4/2020 -- 00:42:04 - (suricata.c:1103) <Info> (SCPrintElapsedTime) -- time elapsed 0.130s
[386] 10/4/2020 -- 00:42:04 - (source-pcap-file.c:377) <Notice> (ReceivePcapFileThreadExitStats) -- Pcap-file module read 1 files, 18523 packets, 3310685 bytes
[384] 10/4/2020 -- 00:42:04 - (counters.c:853) <Info> (StatsLogSummary) -- Alerts: 316
[384] 10/4/2020 -- 00:42:04 - (detect-engine-build.c:1716) <Info> (SigAddressCleanupStage1) -- cleaning up signature grouping structure... complete

но не выводится в fast.log 

# cat /var/log/suricata/fast.log | wc -l
0

Однако

Когда я запускаю suricata в обычном режиме и воспроизводю pcap с помощью tcpreplay с тем же интерфейсом, я получаю 316 предупреждений. 

# suricata -c /etc/suricata/suricata.yaml -i eth0
# tcpreplay -t -i eth0 /root/malware.pcap
Warning in send_packets.c:send_packets() line 637:
Unable to send packet: Error with PF_PACKET send() [1]: Invalid argument (errno = 22)
Actual: 18523 packets (3310685 bytes) sent in 0.290575 seconds
Rated: 11393564.4 Bps, 91.14 Mbps, 63746.02 pps
Flows: 1520 flows, 5231.00 fps, 12589 flow packets, 5934 non-flow
Statistics for network device: eth0
    Successful packets:        18522
    Failed packets:            1
    Truncated packets:         0
    Retried packets (ENOBUFS): 0
    Retried packets (EAGAIN):  0
# cat /var/log/suricata/fast.log | wc -l
316

Этот 316 аналогичен строке в вышеприведенном выводе из автономного режима, но я ничего не вижу в fast.log.

Что происходит?

1 Ответ

0 голосов
/ 23 апреля 2020

Хорошо, наконец-то нашел мой ответ. По какой-то причине при запуске Suricata в автономном режиме он выводит fast.log (и все остальные файлы журнала) в текущий рабочий каталог, а не в каталог из yaml. Для этого я отправлю сообщение об ошибке в Suricata dev, так как уверен, что это не было задумано.

...