suricata初体验+wireshark流量分析

目录

一、suricata介绍

1.下载安装

2.如何使用-攻击模拟

二、wireshark流量分析

1.wireshark过滤器使用

2.wireshark其他使用


一、suricata介绍

1.下载安装

通过官网下载suricata,根据官网步骤进行安装。

复制代码
官网地址:
https://documentation.wazuh.com/
复制代码
$ sudo add-apt-repository ppa:oisf/suricata-stable
$ sudo apt-get update
$ sudo apt-get install suricata -y

$ cd /tmp/ && curl -LO https://rules.emergingthreats.net/open/suricata-6.0.8/emerging.rules.tar.gz
$ sudo tar -xvzf emerging.rules.tar.gz && sudo mv rules/*.rules /etc/suricata/rules/
$ sudo chmod 640 /etc/suricata/rules/*.rules


在/etc/suricata/suricata.yaml中进行修改配置:
HOME_NET: "<UBUNTU_IP>"  #此处为本机IP地址
EXTERNAL_NET: "any"

default-rule-path: /etc/suricata/rules
rule-files:
- "*.rules"   #此处该为可以匹配多条规则

# Global stats configuration
stats:
enabled: no  #将原本规则中的yes该为no

# Linux high speed capture support
af-packet:
  - interface: ens33  #修改本机的网卡配置  

以上配置完毕后,重启suricata。

复制代码
重启:
systemctl restart suricata

进入wazuh匹配文件,需将suricata加入,使wazuh代理可以读取suricata日志文件。

复制代码
进入wazuh配置文件,/var/ossec/etc/ossec.conf
<ossec_config>
  <localfile>
    <log_format>json</log_format>
    <location>/var/log/suricata/eve.json</location>
  </localfile>
</ossec_config>

然后重启wazuh服务。

2.如何使用-攻击模拟

直接在wazuh服务ping端点IP。

然后查看可视化警报,可见可以检测到攻击。

使用wazuh和suricata配合可以快速的检测网络流量,扫描出攻击类型。然后进行分析流量,可以确定攻击手段,制定规则来修补漏洞。

二、wireshark流量分析

1.wireshark过滤器使用

主要分为三个区域。

抓取源IP所有数据包:ip.src == 源ip地址

筛选目的地址:ip.dst == 目的ip地址

端口筛选:tcp.dstport == 80

http请求筛选:http.request.method==GET/POST

2.wireshark其他使用

数据包搜索:在wireshark界面按"Ctrl+F",可以进行关键字搜索。

数据包还原:选中想要还原的流量包,右键选中,选择追踪流 -- TCP流/UPD流/SSL流/HTTP流。

数据提取:文件->导出对象->HTTP

总结,以上为网络学习中不可缺少的工具,如何使用是关键,以上主要介绍相关工具的使用。

相关推荐
白帽黑客沐瑶3 天前
【网络安全就业】信息安全专业的就业前景(非常详细)零基础入门到精通,收藏这篇就够了
网络·安全·web安全·计算机·程序员·编程·网络安全就业
树码小子3 天前
Java网络编程:(socket API编程:TCP协议的 socket API -- 回显程序的服务器端程序的编写)
java·网络·tcp/ip
绿箭柠檬茶3 天前
Ubuntu 服务器配置转发网络访问
服务器·网络·ubuntu
测试老哥3 天前
Selenium 使用指南
自动化测试·软件测试·python·selenium·测试工具·职场和发展·测试用例
real 13 天前
传输层协议UDP
网络·网络协议·udp
路由侠内网穿透3 天前
本地部署 GPS 跟踪系统 Traccar 并实现外部访问
运维·服务器·网络·windows·tcp/ip
喵手3 天前
玩转Java网络编程:基于Socket的服务器和客户端开发!
java·服务器·网络
徐子元竟然被占了!!3 天前
实验-基本ACL
网络
ftpeak3 天前
从零开始使用 axum-server 构建 HTTP/HTTPS 服务
网络·http·https·rust·web·web app
LabVIEW开发3 天前
LabVIEW气体污染无线监测
网络·labview·labview知识·labview功能·labview程序