EveBox: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
Die Seite wurde neu angelegt: „=EveBox als Weboberfläche für Suricata (Docker, lokal mit SQLite)= ;Ziel *Einfache grafische Oberfläche für Suricata-Alerts via Webbrowser *Kein Elasticse…“
 
 
(31 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
=EveBox als Weboberfläche für Suricata (Docker, lokal mit SQLite)=
=EveBox als Weboberfläche für Suricata (Lokal mit SQLite)=


;Ziel
*Einfache grafische Oberfläche für Suricata-Alerts via Webbrowser
*Kein Elasticsearch, keine externe DB – rein lokal via Docker
*Liest direkt die Datei /var/log/suricata/eve.json


=Voraussetzungen=
*Suricata muss im eve.json-Format loggen (siehe unten)
*Docker & Docker Compose installiert


=Konfiguration=


*/opt/evebox/docker-compose.yml*
=Ziel=
version: "3.8"
*Einfache grafische Oberfläche für Suricata-Alerts via Webbrowser
*Kein Elasticsearch, keine externe DB – rein lokal
*Liest direkt die Datei /var/log/suricata/eve.json


services:
=Voraussetzung - Suricata-Konfiguration für eve.json aktivieren=
  evebox:
'''!!!Dies haben wir schon gemacht!!!'''
    image: jasonish/evebox:latest
*vi /etc/suricata/suricata.yaml
    container_name: evebox
<pre>
    restart: unless-stopped
...
    volumes:
      - /var/log/suricata:/var/log/suricata:ro
    ports:
      - "5636:5636"
    command: ["evebox", "server", "--datastore", "sqlite", "--input", "/var/log/suricata/eve.json"]
 
=Start=
*cd /opt/evebox
*docker compose up -d
 
=Zugriff=
*Weboberfläche im Browser öffnen: http://localhost:5636
 
=Suricata-Konfiguration für eve.json aktivieren=
*/etc/suricata/suricata.yaml*
outputs:
outputs:
   - eve-log:
   - eve-log:
Zeile 42: Zeile 21:
       types:
       types:
         - alert
         - alert
        - drop 
         - http
         - http
         - dns
         - dns
Zeile 48: Zeile 28:
         - ssh
         - ssh
         - stats
         - stats
 
</pre>
*Suricata danach neu starten:
Suricata danach neu starten:
*systemctl restart suricata
*systemctl restart suricata
*oder: suricata -D -q 0 -c /etc/suricata/suricata.yaml
*oder: suricata -D -q 0 -c /etc/suricata/suricata.yaml
=Installation=
;Eventuell ist eine neuere Version dort - Nachgucken und neustes Debina Paket runter laden
*https://evebox.org/files/debian/pool/main/e/evebox/
*apt install ./evebox_0.*.deb
=Firewall anpassen in der Inputkette=
;/etc/nftables.conf
ct state new iif $LANDEV ip saddr $LAN tcp dport 5636 accept
*nft -f /etc/nftables.conf
=Eigner Service=
*vi /etc/systemd/system/evebox.service
<pre>
# /etc/systemd/system/evebox.service
[Unit]
Description=EveBox Webinterface
After=network.target
[Service]
ExecStart=/usr/bin/evebox server --host 0.0.0.0 --datastore sqlite --input /var/log/suricata/eve.json
Restart=always
[Install]
WantedBy=multi-user.target
</pre>
=Danach=
*systemctl daemon-reexec
*systemctl enable --now evebox
=Passwort ändern=
*evebox config users passwd admin
=Kontrolle=
*ss -lntp | grep 5636
=Zugriff=
;Vom Client aus
*Weboberfläche im Browser öffnen: https://fw.it2XX.int:5636
[[Kategorie:Suricata]]
[[Kategorie:Cybersecurity]]
[[Kategorie:Firewall]]

Aktuelle Version vom 30. September 2026, 10:09 Uhr

EveBox als Weboberfläche für Suricata (Lokal mit SQLite)

Ziel

  • Einfache grafische Oberfläche für Suricata-Alerts via Webbrowser
  • Kein Elasticsearch, keine externe DB – rein lokal
  • Liest direkt die Datei /var/log/suricata/eve.json

Voraussetzung - Suricata-Konfiguration für eve.json aktivieren

!!!Dies haben wir schon gemacht!!!

  • vi /etc/suricata/suricata.yaml
...
outputs:
  - eve-log:
      enabled: yes
      filetype: regular
      filename: eve.json
      types:
        - alert
        - drop  
        - http
        - dns
        - tls
        - flow
        - ssh
        - stats

Suricata danach neu starten:

  • systemctl restart suricata
  • oder: suricata -D -q 0 -c /etc/suricata/suricata.yaml

Installation

Eventuell ist eine neuere Version dort - Nachgucken und neustes Debina Paket runter laden

Firewall anpassen in der Inputkette

/etc/nftables.conf
ct state new iif $LANDEV ip saddr $LAN tcp dport 5636 accept
  • nft -f /etc/nftables.conf

Eigner Service

  • vi /etc/systemd/system/evebox.service
# /etc/systemd/system/evebox.service
[Unit]
Description=EveBox Webinterface
After=network.target

[Service]
ExecStart=/usr/bin/evebox server --host 0.0.0.0 --datastore sqlite --input /var/log/suricata/eve.json
Restart=always

[Install]
WantedBy=multi-user.target

Danach

  • systemctl daemon-reexec
  • systemctl enable --now evebox

Passwort ändern

  • evebox config users passwd admin

Kontrolle

  • ss -lntp | grep 5636

Zugriff

Vom Client aus
Abgerufen von „https://wiki.ixheim.de/index.php?title=EveBox&oldid=73513“