EveBox

EveBox als Weboberfläche für Suricata (Docker, lokal mit SQLite)

Ziel

• Einfache grafische Oberfläche für Suricata-Alerts via Webbrowser
• Kein Elasticsearch, keine externe DB – rein lokal via Docker
• Liest direkt die Datei /var/log/suricata/eve.json

Installation

• sudo apt-get install curl
• curl -fsSL https://evebox.org/files/GPG-KEY-evebox -o /etc/apt/keyrings/evebox.asc
• echo "deb [signed-by=/etc/apt/keyrings/evebox.asc] https://evebox.org/files/debian stable main" | sudo tee /etc/apt/sources.list.d/evebox.list
• sudo apt-get update
• sudo apt-get install evebox

Start

• evebox server --host 0.0.0.0 --datastore sqlite --input /var/log/suricata/eve.json

Das Passwort sieht man beim ersten Start

• • User: admin
  • Pass: pXbfPQqWAw9S

Eigner Service

• vi /etc/systemd/system/evebox.service

# /etc/systemd/system/evebox.service
[Unit]
Description=EveBox Webinterface
After=network.target

[Service]
ExecStart=/usr/bin/evebox server --host 0.0.0.0 --datastore sqlite --input /var/log/suricata/eve.json
Restart=always

[Install]
WantedBy=multi-user.target

Danach

• systemctl daemon-reexec
• systemctl enable --now evebox

Zugriff

• Weboberfläche im Browser öffnen: https://<IP>:5636

Suricata-Konfiguration für eve.json aktivieren

• /etc/suricata/suricata.yaml*

outputs:

 - eve-log:
     enabled: yes
     filetype: regular
     filename: eve.json
     types:
       - alert
       - http
       - dns
       - tls
       - flow
       - ssh
       - stats

• Suricata danach neu starten:
• systemctl restart suricata
• oder: suricata -D -q 0 -c /etc/suricata/suricata.yaml