URL: https://linuxfr.org/forums/linux-general/posts/suricata-questions Title: Suricata -> questions... Authors: ratw3 Date: 2014年05月13日T01:28:53+02:00 License: CC By-SA Tags: suricata, nids, logstash et kibana Score: 0 Bonjour, J ai pour projet de déployer l IPS suricata sur un réseau exsistant. Je ne veux pas faire de in-line mais "mirrorer" le trafic existant sur le port d un switch surlequel Suricata sera connecté. Il semble que Suricata peut fonctionner en IPS dans ce mode en envoyant des tcp-reset/icmp error codes. De là pleins de questions: - NIveau archi: pour pouvoir envoyer des tcp-rst / icmp error est il nécessaire que mon serveur ait une IP dédié sur le/les qui seront mirrorés ? ou alors une IP sur un autre réseau suffit ? - Compilation: je ne trouve rien de claire sur cette question, quelles options dois je rajouter ? --enable-nfqueue ? c'est tout ? - Exploitation des alertes: 2 choix: Snorby + barnyard2 + Suricata ou Suricata + Logstash + Kibana Le deuxième semble mieux mais j'attends vos avis là dessus :) - Est-ce aisé de filtrer le trafic ? c'est à dire n'activer la fonction IPS que pour 2 hosts spécifiques ? Par avance merci de vos réponses et de votre retour d expériences!