EveBox: Unterschied zwischen den Versionen
Zur Navigation springen
Zur Suche springen
| (24 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) | |||
| Zeile 1: | Zeile 1: | ||
=EveBox als Weboberfläche für Suricata ( | =EveBox als Weboberfläche für Suricata (Lokal mit SQLite)= | ||
=Ziel= | |||
*Einfache grafische Oberfläche für Suricata-Alerts via Webbrowser | *Einfache grafische Oberfläche für Suricata-Alerts via Webbrowser | ||
*Kein Elasticsearch, keine externe DB – rein lokal | *Kein Elasticsearch, keine externe DB – rein lokal | ||
*Liest direkt die Datei /var/log/suricata/eve.json | *Liest direkt die Datei /var/log/suricata/eve.json | ||
= | =Voraussetzung - Suricata-Konfiguration für eve.json aktivieren= | ||
'''!!!Dies haben wir schon gemacht!!!''' | |||
*vi /etc/suricata/suricata.yaml | |||
*vi / | |||
<pre> | <pre> | ||
... | |||
outputs: | outputs: | ||
- eve-log: | - eve-log: | ||
| Zeile 45: | Zeile 21: | ||
types: | types: | ||
- alert | - alert | ||
- drop | |||
- http | - http | ||
- dns | - dns | ||
| Zeile 51: | Zeile 28: | ||
- ssh | - ssh | ||
- stats | - stats | ||
</pre> | |||
Suricata danach neu starten: | |||
*systemctl restart suricata | *systemctl restart suricata | ||
*oder: suricata -D -q 0 -c /etc/suricata/suricata.yaml | *oder: suricata -D -q 0 -c /etc/suricata/suricata.yaml | ||
=Installation= | |||
;Eventuell ist eine neuere Version dort - Nachgucken und neustes Debina Paket runter laden | |||
*https://evebox.org/files/debian/pool/main/e/evebox/ | |||
*apt install ./evebox_0.*.deb | |||
=Firewall anpassen in der Inputkette= | |||
;/etc/nftables.conf | |||
ct state new iif $LANDEV ip saddr $LAN tcp dport 5636 accept | |||
*nft -f /etc/nftables.conf | |||
=Eigner Service= | |||
*vi /etc/systemd/system/evebox.service | |||
<pre> | |||
# /etc/systemd/system/evebox.service | |||
[Unit] | |||
Description=EveBox Webinterface | |||
After=network.target | |||
[Service] | |||
ExecStart=/usr/bin/evebox server --host 0.0.0.0 --datastore sqlite --input /var/log/suricata/eve.json | |||
Restart=always | |||
[Install] | |||
WantedBy=multi-user.target | |||
</pre> | |||
=Danach= | |||
*systemctl daemon-reexec | |||
*systemctl enable --now evebox | |||
=Passwort ändern= | |||
*evebox config users passwd admin | |||
=Kontrolle= | |||
*ss -lntp | grep 5636 | |||
=Zugriff= | |||
;Vom Client aus | |||
*Weboberfläche im Browser öffnen: https://fw.it2XX.int:5636 | |||
[[Kategorie:Suricata]] | |||
[[Kategorie:Cybersecurity]] | |||
[[Kategorie:Firewall]] | |||
Aktuelle Version vom 30. September 2026, 10:09 Uhr
EveBox als Weboberfläche für Suricata (Lokal mit SQLite)
Ziel
- Einfache grafische Oberfläche für Suricata-Alerts via Webbrowser
- Kein Elasticsearch, keine externe DB – rein lokal
- Liest direkt die Datei /var/log/suricata/eve.json
Voraussetzung - Suricata-Konfiguration für eve.json aktivieren
!!!Dies haben wir schon gemacht!!!
- vi /etc/suricata/suricata.yaml
...
outputs:
- eve-log:
enabled: yes
filetype: regular
filename: eve.json
types:
- alert
- drop
- http
- dns
- tls
- flow
- ssh
- stats
Suricata danach neu starten:
- systemctl restart suricata
- oder: suricata -D -q 0 -c /etc/suricata/suricata.yaml
Installation
- Eventuell ist eine neuere Version dort - Nachgucken und neustes Debina Paket runter laden
- https://evebox.org/files/debian/pool/main/e/evebox/
- apt install ./evebox_0.*.deb
Firewall anpassen in der Inputkette
- /etc/nftables.conf
ct state new iif $LANDEV ip saddr $LAN tcp dport 5636 accept
- nft -f /etc/nftables.conf
Eigner Service
- vi /etc/systemd/system/evebox.service
# /etc/systemd/system/evebox.service [Unit] Description=EveBox Webinterface After=network.target [Service] ExecStart=/usr/bin/evebox server --host 0.0.0.0 --datastore sqlite --input /var/log/suricata/eve.json Restart=always [Install] WantedBy=multi-user.target
Danach
- systemctl daemon-reexec
- systemctl enable --now evebox
Passwort ändern
- evebox config users passwd admin
Kontrolle
- ss -lntp | grep 5636
Zugriff
- Vom Client aus
- Weboberfläche im Browser öffnen: https://fw.it2XX.int:5636