Thomas.will: Die Seite wurde neu angelegt: „= Suricata – Konfiguration = Diese Seite beschreibt die Suricata-Konfigurationsdatei `/etc/suricata/suricata.yaml` im Detail. == Variablen (vars…“

2026-05-12T09:49:08Z

Die Seite wurde neu angelegt: „= Suricata – Konfiguration = Diese Seite beschreibt die Suricata-Konfigurationsdatei <code>/etc/suricata/suricata.yaml</code> im Detail. == Variablen (vars…“

Neue Seite

= Suricata – Konfiguration =

Diese Seite beschreibt die Suricata-Konfigurationsdatei <code>/etc/suricata/suricata.yaml</code> im Detail.

== Variablen (vars) ==

Suricata verwendet Adressgruppen, die in der YAML-Konfiguration unter <code>vars.address-groups</code> definiert werden. Sie erlauben es, Regeln netzwerkunabhängig zu formulieren.

{| class="wikitable"
! Variable !! Wert !! Bedeutung
|-
| <code>LAN</code> || <code>172.26.2XX.0/24</code> || Internes LAN-Netz (XX = Studentennummer)
|-
| <code>DMZ</code> || <code>10.88.2XX.0/24</code> || Demilitarisierte Zone
|-
| <code>SERVER</code> || <code>10.2XX.1.0/24</code> || Servernetz
|-
| <code>INT</code> || <code>$LAN, $DMZ, $SERVER</code> || Zusammenfassung aller internen Netze
|-
| <code>HOME_NET</code> || <code>$INT</code> || Alias für alle internen Netze (wird von Regeln verwendet)
|-
| <code>EXTERNAL_NET</code> || <code>!$INT</code> || Alles außerhalb der internen Netze
|}

<pre>
vars:
address-groups:
LAN: "[172.26.2XX.0/24]"
DMZ: "[10.88.2XX.0/24]"
SERVER: "[10.2XX.1.0/24]"
INT: "[$LAN,$DMZ,$SERVER]"
HOME_NET: "$INT"
EXTERNAL_NET: "!$INT"
</pre>

== NFQ (Netfilter Queue) ==

Suricata kann Pakete über die Netfilter-Queue direkt von iptables/nftables empfangen und wieder zurückgeben.

{| class="wikitable"
! Parameter !! Wert !! Bedeutung
|-
| <code>mode</code> || <code>repeat</code> || Paket wird nach Inspektion erneut in die Queue eingespeist
|-
| <code>repeat-mark</code> || <code>1</code> || Markierung, die auf wiederholte Pakete gesetzt wird
|-
| <code>repeat-mask</code> || <code>1</code> || Bitmaske zur Erkennung bereits verarbeiteter Pakete
|}

<pre>
nfq:
mode: repeat
repeat-mark: 1
repeat-mask: 1
</pre>

== Allgemeine Einstellungen ==

{| class="wikitable"
! Parameter !! Wert !! Bedeutung
|-
| <code>default-log-dir</code> || <code>/var/log/suricata/</code> || Verzeichnis für alle Log-Dateien
|-
| <code>pid-file</code> || <code>/var/run/suricata.pid</code> || Pfad zur PID-Datei
|-
| <code>host-mode</code> || <code>auto</code> || Automatische Erkennung der Host-Rolle (Router/Sniffer)
|-
| <code>coredump: max-dump</code> || <code>unlimited</code> || Keine Größenbeschränkung für Core-Dumps
|}

== Statistiken ==

<pre>
stats:
enabled: yes
interval: 8
</pre>

Statistiken werden alle 8 Sekunden erfasst und in <code>stats.log</code> sowie <code>eve.json</code> geschrieben.

== Ausgaben (outputs) ==

Suricata unterstützt mehrere parallele Ausgabeformate:

{| class="wikitable"
! Ausgabe !! Datei !! Beschreibung
|-
| <code>fast</code> || <code>fast.log</code> || Einzeilige Alert-Zusammenfassungen (schnelle Übersicht)
|-
| <code>alert-debug</code> || <code>alert-debug.log</code> || Erweiterte Debug-Informationen zu Alerts
|-
| <code>stats</code> || <code>stats.log</code> || Statistiken mit Gesamtwerten (threads: no)
|-
| <code>eve-log</code> || <code>eve.json</code> || Strukturiertes JSON-Log (Hauptformat für SIEM-Integration)
|}

=== EVE-JSON Ereignistypen ===

Das EVE-Log ist das zentrale Ausgabeformat für die Weiterverarbeitung (z. B. mit Elasticsearch/Kibana):

{| class="wikitable"
! Typ !! Beschreibung
|-
| <code>alert</code> || Regelübereinstimmungen (IDS/IPS-Alarme)
|-
| <code>drop</code> || Im IPS-Modus verworfene Pakete
|-
| <code>http</code> || HTTP-Anfragen und -Antworten
|-
| <code>dns</code> || DNS-Anfragen und -Antworten
|-
| <code>tls</code> || TLS-Handshake-Metadaten (SNI, Zertifikat, Version)
|-
| <code>flow</code> || Netzwerkflüsse (Start, Ende, Bytes, Pakete)
|-
| <code>ssh</code> || SSH-Verbindungsmetadaten
|-
| <code>stats</code> || Interne Suricata-Statistiken
|}

== Logging ==

<pre>
logging:
default-log-level: notice
outputs:
- console:
enabled: yes
- file:
enabled: yes
level: info
filename: suricata.log
</pre>

{| class="wikitable"
! Ziel !! Level !! Beschreibung
|-
| Console || notice || Ausgabe auf stdout (für systemd/journald)
|-
| Datei || info || Detaillierteres Logging in <code>suricata.log</code>
|}

== Unix Command Socket ==

<pre>
unix-command:
enabled: yes
filename: /var/run/suricata-command.socket
</pre>

Ermöglicht die Steuerung eines laufenden Suricata-Prozesses über das Tool <code>suricatasc</code>, z. B. zum Nachladen von Regeln ohne Neustart:

<pre>
suricatasc -c reload-rules
</pre>

== Engine-Analyse ==

<pre>
engine-analysis:
rules-fast-pattern: yes
rules: yes
</pre>

Beim Start analysiert Suricata die geladenen Regeln und gibt Hinweise zur Performance-Optimierung aus.

== Defragmentierung ==

Suricata setzt IP-Fragmente vor der Inspektion wieder zusammen:

{| class="wikitable"
! Parameter !! Wert !! Bedeutung
|-
| <code>memcap</code> || <code>32mb</code> || Maximaler Speicher für Fragmentpuffer
|-
| <code>hash-size</code> || <code>65536</code> || Größe der Hash-Tabelle für Fragment-Tracking
|-
| <code>trackers</code> || <code>65535</code> || Maximale Anzahl gleichzeitig verfolgter Fragmentströme
|-
| <code>max-frags</code> || <code>65535</code> || Maximale Anzahl gespeicherter Fragmente
|-
| <code>prealloc</code> || <code>yes</code> || Speicher wird beim Start vorab allokiert
|-
| <code>timeout</code> || <code>60</code> || Sekunden bis unvollständige Fragmente verworfen werden
|}

== Regeln ==

{| class="wikitable"
! Parameter !! Wert !! Bedeutung
|-
| <code>default-rule-path</code> || <code>/etc/suricata/rules</code> || Basisverzeichnis für alle Regeldateien
|-
| <code>rule-files</code> || <code>local.rules</code> || Zu ladende Regeldatei(en)
|-
| <code>classification-file</code> || <code>/etc/suricata/classification.config</code> || Klassifikation der Regelkategorien
|-
| <code>reference-config-file</code> || <code>/etc/suricata/reference.config</code> || URLs für externe Referenzen in Regeln
|}

Eigene Regeln werden in <code>/etc/suricata/rules/local.rules</code> gepflegt.

== Anwendungsschicht-Protokolle (app-layer) ==

Suricata kann den Netzwerkverkehr auf Protokollebene dekodieren und analysieren. Alle folgenden Protokolle sind aktiviert:

=== Standardprotokolle ===

{| class="wikitable"
! Protokoll !! Beschreibung
|-
| <code>http</code> || Webtraffic (HTTP/1.x)
|-
| <code>http2</code> || Modernes Webprotokoll (HTTP/2)
|-
| <code>tls</code> || TLS/SSL-Verschlüsselung (Metadaten, kein Klartextinhalt ohne SSL-Bump)
|-
| <code>dns</code> || Namensauflösung
|-
| <code>ftp</code> || Dateiübertragung
|-
| <code>ssh</code> || Sichere Shell
|-
| <code>smtp</code> || E-Mail-Versand
|-
| <code>imap</code> || E-Mail-Abruf
|-
| <code>ntp</code> || Zeitsynchronisation
|-
| <code>dhcp</code> || IP-Adressvergabe
|-
| <code>snmp</code> || Netzwerkmanagement
|}

=== Windows/Netzwerkdienste ===

{| class="wikitable"
! Protokoll !! Beschreibung
|-
| <code>smb</code> || Windows-Dateifreigabe (Samba)
|-
| <code>dcerpc</code> || Windows RPC (Fernprozeduraufrufe)
|-
| <code>krb5</code> || Kerberos-Authentifizierung (Active Directory)
|-
| <code>nfs</code> || Unix-Netzwerkdateisystem
|-
| <code>tftp</code> || Einfaches Dateiübertragungsprotokoll (z. B. PXE-Boot)
|-
| <code>rdp</code> || Remote Desktop Protocol
|}

=== IoT / OT / Spezialprotokolle ===

{| class="wikitable"
! Protokoll !! Beschreibung
|-
| <code>modbus</code> || Industriesteuerungen (SCADA)
|-
| <code>enip</code> || EtherNet/IP (Industrieautomatisierung)
|-
| <code>dnp3</code> || Protokoll für Fernwirktechnik (Energieversorgung)
|-
| <code>ikev2</code> || VPN-Schlüsselaustausch (IPsec)
|-
| <code>sip</code> || VoIP-Signalisierung
|-
| <code>rfb</code> || Remote Framebuffer (VNC)
|-
| <code>mqtt</code> || IoT-Messaging-Protokoll
|}

== Siehe auch ==

* [[Suricata – Regelschreibung]]
* [[Suricata – IPS-Modus mit nftables]]
* [[Suricata – EVE-Log mit Elasticsearch]]

Suricata.yaml Erklärung - Versionsgeschichte

Thomas.will: Die Seite wurde neu angelegt: „= Suricata – Konfiguration = Diese Seite beschreibt die Suricata-Konfigurationsdatei /etc/suricata/suricata.yaml im Detail. == Variablen (vars…“

Thomas.will: Die Seite wurde neu angelegt: „= Suricata – Konfiguration = Diese Seite beschreibt die Suricata-Konfigurationsdatei `/etc/suricata/suricata.yaml` im Detail. == Variablen (vars…“