Suricata Rules - Versionsgeschichte

Thomas.will am 5. September 2025 um 16:19 Uhr

2025-09-05T16:19:59Z

Thomas.will: Der Seiteninhalt wurde durch einen anderen Text ersetzt: „*Suricata Rules Basics“

2025-09-05T16:19:32Z

Der Seiteninhalt wurde durch einen anderen Text ersetzt: „*Suricata Rules Basics“

Änderungen zeigen

Thomas.will: /* Einführung */

2023-09-11T11:24:46Z

Einführung

Thomas.will: /* Fazit */

2023-09-11T11:24:21Z

Fazit

Thomas.will am 11. September 2023 um 11:23 Uhr

2023-09-11T11:23:12Z

Änderungen zeigen

Thomas.will: Die Seite wurde neu angelegt: „== Tutorial == '''Verständnis der Suricata-Signaturen''' '''Veröffentlicht am:''' 24. November 2021 '''Kategorien:''' Sicherheit, Netzwerke, Überwachung,…“

2023-09-11T10:56:19Z

Die Seite wurde neu angelegt: „== Tutorial == '''Verständnis der Suricata-Signaturen''' '''Veröffentlicht am:''' 24. November 2021 '''Kategorien:''' Sicherheit, Netzwerke, Überwachung,…“

Neue Seite

== Tutorial ==
'''Verständnis der Suricata-Signaturen'''

'''Veröffentlicht am:''' 24. November 2021

'''Kategorien:''' Sicherheit, Netzwerke, Überwachung, Suricata, Firewall

'''Autor:''' Jamon Camisso

=== Einleitung ===

Das erste Tutorial in dieser Serie hat erklärt, wie man Suricata installiert und konfiguriert. Wenn Sie diesem Tutorial gefolgt sind, haben Sie auch gelernt, wie man Suricata-Regelsätze herunterlädt und aktualisiert und wie man Protokolle auf verdächtige Aktivitäten überprüft. Die Regeln, die Sie in diesem Tutorial heruntergeladen haben, sind jedoch zahlreich und decken viele verschiedene Protokolle, Anwendungen und Angriffsvektoren ab, die für Ihr Netzwerk und Ihre Server möglicherweise nicht relevant sind.

In diesem Tutorial lernen Sie, wie Suricata-Signaturen strukturiert sind und welche wichtigen Optionen in den meisten Regeln verwendet werden. Sobald Sie vertraut sind mit der Struktur und den Feldern einer Signatur und wie Suricata sie verarbeitet, können Sie Ihre eigenen Signaturen schreiben, die Sie mit einer Firewall kombinieren können, um Sie über verdächtigen Datenverkehr zu Ihren Servern zu benachrichtigen, ohne andere externe Regelsätze verwenden zu müssen.

Dieser Ansatz zum Schreiben und Verwalten von Regeln ermöglicht es Ihnen, Suricata effizienter zu nutzen, da es nur die spezifischen Regeln verarbeiten muss, die Sie schreiben. Sobald Sie einen Regelsatz haben, der den Großteil des legitimen und verdächtigen Datenverkehrs beschreibt, den Sie in Ihrem Netzwerk erwarten, können Sie beginnen, ungültigen Datenverkehr selektiv mit Suricata im aktiven Intrusion Prevention (IPS)-Modus zu blockieren. Im nächsten Tutorial dieser Serie erfahren Sie, wie Sie die IPS-Funktion von Suricata aktivieren können.

=== Voraussetzungen ===

Für die Zwecke dieses Tutorials können Sie Suricata auf jedem System ausführen, da Signaturen im Allgemeinen kein bestimmtes Betriebssystem erfordern. Wenn Sie dieser Tutorial-Serie folgen, sollten Sie bereits haben:

- Suricata auf einem Ubuntu 20.04-, Debian 11- oder Rocky Linux 8-Server installiert und ausgeführt.

- Den ET Open Ruleset, der mit dem suricata-update-Befehl heruntergeladen und in Ihre Suricata-Signaturen aufgenommen wurde.

=== Verständnis der Struktur von Suricata-Signaturen ===

Suricata-Signaturen können anfangs komplex erscheinen, aber sobald Sie verstehen, wie sie strukturiert sind und wie Suricata sie verarbeitet, können Sie Ihre eigenen Regeln für die Anforderungen Ihres Netzwerks erstellen.

Auf hoher Ebene bestehen Suricata-Signaturen aus drei Teilen:

1. Eine Aktion, die ausgeführt wird, wenn der Datenverkehr mit der Regel übereinstimmt.
2. Ein Header, der Hosts, IP-Adressen, Ports, Protokolle und die Richtung des Datenverkehrs (eingehend oder ausgehend) beschreibt.
3. Optionen, die Dinge wie die Signature-ID (sid), die Protokollierungsnachricht, reguläre Ausdrücke, die den Inhalt von Paketen abgleichen, den Klassifikationstyp und andere Modifikatoren angeben, die helfen können, legitimen und verdächtigen Datenverkehr einzuschränken.

Die allgemeine Struktur einer Signatur ist die folgende:

'''Generische Regelstruktur:'''

← Nächstältere Version		Version vom 5. September 2025, 16:19 Uhr
Zeile 1:		Zeile 1:
	*[[Suricata Rules Basics]]		*[[Suricata Rules Basics]]
		+	*[[Suricata Rules Dos Protection]]

← Nächstältere Version		Version vom 11. September 2023, 11:24 Uhr
Zeile 11:		Zeile 11:

	=== Einführung ===		=== Einführung ===
−	Das erste Tutorial in dieser Serie erklärte, wie Sie Suricata installieren und konfigurieren können. Wenn Sie diesem Tutorial gefolgt sind, haben Sie auch gelernt, wie Sie Suricata-Regelsätze herunterladen und aktualisieren und wie Sie Protokolle auf verdächtige Aktivitäten überprüfen können. Die Regeln, die Sie in diesem Tutorial heruntergeladen haben, sind jedoch zahlreich und decken viele verschiedene Protokolle, Anwendungen und Angriffsvektoren ab, die möglicherweise nicht relevant für Ihr Netzwerk und Ihre Server sind.

	In diesem Tutorial erfahren Sie, wie Suricata-Signaturen strukturiert sind, und einige wichtige Optionen, die in den meisten Regeln verwendet werden. Sobald Sie vertraut sind mit der Struktur und den Feldern einer Signatur, können Sie Ihre eigenen Signaturen schreiben, die Sie zusammen mit einer Firewall verwenden können, um Sie über verdächtigen Datenverkehr zu Ihren Servern zu informieren, ohne externe Regelsätze verwenden zu müssen.		In diesem Tutorial erfahren Sie, wie Suricata-Signaturen strukturiert sind, und einige wichtige Optionen, die in den meisten Regeln verwendet werden. Sobald Sie vertraut sind mit der Struktur und den Feldern einer Signatur, können Sie Ihre eigenen Signaturen schreiben, die Sie zusammen mit einer Firewall verwenden können, um Sie über verdächtigen Datenverkehr zu Ihren Servern zu informieren, ohne externe Regelsätze verwenden zu müssen.

← Nächstältere Version		Version vom 11. September 2023, 11:24 Uhr
Zeile 168:		Zeile 168:

	Wir hoffen, dass dieses Tutorial Ihnen geholfen hat, ein besseres Verständnis für Suricata-Signaturen zu entwickeln und wie Sie sie in Ihrem Netzwerk einset		Wir hoffen, dass dieses Tutorial Ihnen geholfen hat, ein besseres Verständnis für Suricata-Signaturen zu entwickeln und wie Sie sie in Ihrem Netzwerk einset
		+	=Quelle=
		+	*https://www.digitalocean.com/community/tutorials/understanding-suricata-signatures