› ›

Suricata 模块

这是一个用于 Suricata IDS/IPS/NSM 日志的模块。它解析 Suricata Eve JSON 格式的日志。

当您运行该模块时，它会在后台执行一些任务

阅读快速入门，了解如何配置和运行模块。

此模块是针对 Suricata v4.0.4 开发的，但预计也可与其他版本的 Suricata 一起使用。

您可以通过在 modules.d/suricata.yml 文件中指定变量设置，或在命令行中覆盖设置，来进一步优化 suricata 模块的行为。

您必须在模块中至少启用一个文件集。文件集默认情况下处于禁用状态。

这是一个如何覆盖默认日志文件路径的示例。

- module: suricata
  eve:
    enabled: true
    var.paths: ["/my/path/suricata.json"]

每个文件集都有单独的变量设置，用于配置模块的行为。如果您不指定变量设置，则 suricata 模块将使用默认值。

对于高级用例，您还可以覆盖输入设置。请参阅覆盖输入设置。

当您在命令行中指定设置时，请记住以模块名称为设置添加前缀，例如，suricata.eve.var.paths 而不是 eve.var.paths。

var.paths: 一个基于 glob 的路径数组，用于指定查找日志文件的位置。此处还支持 Go Glob 支持的所有模式。例如，您可以使用通配符从预定义的子目录级别获取所有文件：/path/to/log/*/*.log。这将从 /path/to/log 的子文件夹中获取所有 .log 文件。它不会从 /path/to/log 文件夹本身获取日志文件。如果此设置留空，Filebeat 将根据您的操作系统选择日志路径。
var.tags: 要包含在事件中的标签列表。包含 forwarded 表示事件并非源自此主机，并导致 host.name 不会添加到事件中。默认为 [suricata]。
var.internal_networks: 描述您认为是内部的 IP 地址的 CIDR 范围列表。这用于确定 network.direction 的值。这些值可以是 CIDR 值，也可以是 network 条件支持的命名范围之一。默认值为 [private]，它将 RFC 1918 (IPv4) 和 RFC 4193 (IPv6) 地址分类为内部地址。