一、suricata介绍

1.下载安装

通过官网下载suricata，根据官网步骤进行安装。

复制代码

官网地址：
https://documentation.wazuh.com/

复制代码

$ sudo add-apt-repository ppa:oisf/suricata-stable
$ sudo apt-get update
$ sudo apt-get install suricata -y

$ cd /tmp/ && curl -LO https://rules.emergingthreats.net/open/suricata-6.0.8/emerging.rules.tar.gz
$ sudo tar -xvzf emerging.rules.tar.gz && sudo mv rules/*.rules /etc/suricata/rules/
$ sudo chmod 640 /etc/suricata/rules/*.rules


在/etc/suricata/suricata.yaml中进行修改配置：
HOME_NET: "<UBUNTU_IP>"  #此处为本机IP地址
EXTERNAL_NET: "any"

default-rule-path: /etc/suricata/rules
rule-files:
- "*.rules"   #此处该为可以匹配多条规则

# Global stats configuration
stats:
enabled: no  #将原本规则中的yes该为no

# Linux high speed capture support
af-packet:
  - interface: ens33  #修改本机的网卡配置

以上配置完毕后，重启suricata。

复制代码

重启：
systemctl restart suricata

进入wazuh匹配文件，需将suricata加入，使wazuh代理可以读取suricata日志文件。

复制代码

进入wazuh配置文件，/var/ossec/etc/ossec.conf
<ossec_config>
  <localfile>
    <log_format>json</log_format>
    <location>/var/log/suricata/eve.json</location>
  </localfile>
</ossec_config>

然后重启wazuh服务。