EveBox

Ziel

• Einfache grafische Oberfläche für Suricata-Alerts via Webbrowser
• Kein Elasticsearch, keine externe DB – rein lokal via Docker
• Liest direkt die Datei /var/log/suricata/eve.json

Voraussetzung - Suricata-Konfiguration für eve.json aktivieren

• vi /etc/suricata/suricata.yaml*

...
outputs:
  - eve-log:
      enabled: yes
      filetype: regular
      filename: eve.json
      types:
        - alert
        - http
        - dns
        - tls
        - flow
        - ssh
        - stats

Suricata danach neu starten:

• systemctl restart suricata
• oder: suricata -D -q 0 -c /etc/suricata/suricata.yaml

Installation

• sudo apt-get install curl
• curl -fsSL https://evebox.org/files/GPG-KEY-evebox -o /etc/apt/keyrings/evebox.asc
• echo "deb [signed-by=/etc/apt/keyrings/evebox.asc] https://evebox.org/files/debian stable main" | sudo tee /etc/apt/sources.list.d/evebox.list
• sudo apt-get update
• sudo apt-get install evebox

Start

• evebox server --host 0.0.0.0 --datastore sqlite --input /var/log/suricata/eve.json

Das Passwort sieht man beim ersten Start

• • User: admin
  • Pass: pXbfPQqWAw9S

Eigner Service

• vi /etc/systemd/system/evebox.service

# /etc/systemd/system/evebox.service
[Unit]
Description=EveBox Webinterface
After=network.target

[Service]
ExecStart=/usr/bin/evebox server --host 0.0.0.0 --datastore sqlite --input /var/log/suricata/eve.json
Restart=always

[Install]
WantedBy=multi-user.target

Danach

• systemctl daemon-reexec
• systemctl enable --now evebox

Zugriff

• Weboberfläche im Browser öffnen: https://<IP>:5636