Suricata условные оповещения

Question

Я спрашиваю о Сурикате

Есть ли способ написать условное оповещение?

Например - оповещение о HTTP GET, если статус сервера по запросу "успешен"

Спасибо эфрат

Answer 1

Все оповещения являются условными, так как они запускаются условиями в правиле.

Правило для совпадения в сообщении о статусе в http будет выглядеть примерно так:

оповещение http любой любой -> любой любой (содержимое:"success"; http_stat_msg; sid:12345;)

См. https://redmine.openinfosecfoundation.org/projects/suricata/wiki/HTTP-keywords.

Answer 2

Вы можете сделать это при условии, что вы обновите свое имя файла правил в файле suricata.yaml. Самый простой способ сделать это:

1. Создать файл custom.rule с настраиваемыми оповещениями
2. добавьте customer.rule в список правил.

3. сделать живую перезагрузку ( Kill -USR2) или

   start :suricata -c /etc/suricata/suricata.yaml -i <interface>
   

4. когда вы отправляете трафик, вы должны видеть оповещения в fast.log