Il semble que Suricata peut fonctionner en IPS dans ce mode en envoyant des tcp-reset/icmp error codes.
Non, en mode port "mirror", tu fait de l'analyse de flux, donc IDS (Intrusion detection system) et non IPS (Intrusion prevention system).
Pour faire fonctionner Suricata en IPS, il faut utiliser iptables/NFQUEUE: Setting up IPS/inline for Linux
Compilation: je ne trouve rien de claire sur cette question, quelles options dois je rajouter ?
--enable-nfqueue ? c'est tout ?
Oui, pour l'IPS.
Exploitation des alertes: 2 choix:
Snorby + barnyard2 + Suricata
Simple, consomme peu de ressources, mais peu évolutif, limiter aux alertes seulement.
Suricata + Logstash + Kibana
Plus de fonctionnalités, consomme beaucoup de ressources (Logstash = Java = JVM = achète des actions chez Kingston ;-) ),
par contre avec Logstash/Kibana tu peux remonter pleins d'informations : DNS, TLS, HTTP, etc...
En plus l'interface de Kibana est super sexy, donc c'est vendeur.
Tu as l'impression d'être dans NCIS et pouvoir détourner les satellites avec ton NIDS ;-)
# Réponses ...
Posté par Christophe Nowicki . En réponse au message Suricata -> questions.... Évalué à 1.
Helloo,
Non, en mode port "mirror", tu fait de l'analyse de flux, donc IDS (Intrusion detection system) et non IPS (Intrusion prevention system).
Pour faire fonctionner Suricata en IPS, il faut utiliser iptables/NFQUEUE: Setting up IPS/inline for Linux
Oui, pour l'IPS.
Simple, consomme peu de ressources, mais peu évolutif, limiter aux alertes seulement.
Plus de fonctionnalités, consomme beaucoup de ressources (Logstash = Java = JVM = achète des actions chez Kingston ;-) ),
par contre avec Logstash/Kibana tu peux remonter pleins d'informations : DNS, TLS, HTTP, etc...
En plus l'interface de Kibana est super sexy, donc c'est vendeur.
Tu as l'impression d'être dans NCIS et pouvoir détourner les satellites avec ton NIDS ;-)
Mes 0.02 pcaps