Suricata : installation

Suricata : installation jpp sam 18/05/2013 - 22:38

Mise à jour juillet 2016 pour la version 3 (3.0.1 pour être précis).
Il faut maintenant installer des choses sérieuses : "make", "wget" et "git" si ce n'est déjà fait ainsi que la triplette "mysql-client","mysql-server" ainsi que "libmysqld-dev" , je fonctionne actuellement avec MariaDB.
J'ai créé un utilisateur "suricata" avec un mot de passe du même métal pour faire tourner le tout sans droits "root".
Ensuite télécharger le tar.gz (1.4.1 lors des premiers tests 3.0.1 à ce jour) dans un répertoire tranquille :
wget http://www.openinfosecfoundation.org/download/suricata-3.0.1.tar.gz ou plus récent visible sur https://oisf.net/
suivi d'un : tar -xvf suricata-3.0.1.tar.gz
Il faut charger quelques dépendances spécifiques :

pkg-config
libpcap-dev
libpcre3-dev
libyaml-dev
libnet1-dev
libcap-ng-dev
libmagic-dev
libhtp-dev
zlib1g-dev
libjansson4 libjansson-dev
libnfnetlink0 libnfnetlink-dev
libnetfilter-queue-1 libnetfilter-queue-dev

Un apt-get install de toute la liste suffit.
Ensuite le "./configure" magique permet de commencer le travail et le récap en fin d'exécution permet de vérifier si toutes les options nous conviennent :

Suricata Configuration:
AF_PACKET support:                       yes
PF_RING support:                         no
NFQueue support:                         no
IPFW support:                            no
DAG enabled:                             no
Napatech enabled:                        no
Unix socket enabled:                     no
libnss support:                          no
libnspr support:                         no
libjansson support:                      no
Prelude support:                         no
PCRE jit:                                no
libluajit:                               no
libgeoip:                                no
Non-bundled htp:                         no
Old barnyard2 support:                   no
CUDA enabled:                            no
Suricatasc install:                      yes
Unit tests enabled:                      no
Debug output enabled:                    no
Debug validation enabled:                no
Profiling enabled:                       no
Profiling locks enabled:                 no
Generic build parameters:
Installation prefix (--prefix):          /usr/local
Configuration directory (--sysconfdir): /usr/local/etc/suricata/
Log directory (--localstatedir) :        /usr/local/var/log/suricata/
Host:                                    i686-pc-linux-gnu
GCC binary:                              gcc
GCC Protect enabled:                     no
GCC march native enabled:                yes
GCC Profile enabled:                     no
To build and install run 'make' and 'make install'.
You can run 'make install-conf' if you want to install initial configuration
files to /usr/local/etc/suricata/. Running 'make install-full' will install configuration
and rules and provide you a ready-to-run suricata.
To install Suricata into /usr/bin/suricata, have the config in
/etc/suricata and use /var/log/suricata as log dir, use:
./configure --prefix=/usr/ --sysconfdir=/etc/ --localstatedir=/var/

Pour plus de sécurité (isolation dans un répertoire spécifique) je vais lancer la configuration avec les options suivantes :
./configure --prefix=/opt/suricata \
--sysconfdir=/opt/suricata/ \
--localstatedir=/opt/suricata/
Le log final contient :

Generic build parameters:
Installation prefix (--prefix): /opt/suricata
Configuration directory (--sysconfdir): /opt/suricata/suricata/
Log directory (--localstatedir) : /opt/suricata/log/suricata/

Ce n'est pas tout à fait ce que je voulais et je corrige "un peu" le Makefile (aux environs de la ligne 245) pour obtenir un "arbre" de répertoires sous /opt/suricata :

e_localstatedir = /opt/suricata/run
e_logdir = /opt/suricata/log
e_logfilesdir = /opt/suricata/log/files
e_magic_file = /usr/share/file/magic
e_rundir = /opt/suricata/run/
e_sysconfdir = /opt/suricata/etc
e_sysconfrulesdir = /opt/suricata/etc/rules

Je lance enfin le "make" qui se déroule sans ennuis ... de même pour le "make install" ... qui m'installe un arbre de répertoires "convenable", enfin qui me convient, "make install-conf" installe la config de base puis "make install-full" télécharge et installe un jeu de règles standard.
Image de mon arbre de répertoires :

drwxrwsr-x 9 root suricata 4096 2013-05-06 14:39 .
drwxrwsr-x 18 root staff 4096 2013-05-06 13:40 ..
drwxr-xr-x 2 root suricata 4096 2013-05-07 16:29 bin
drwxr-xr-x 3 root suricata 4096 2013-05-07 17:09 etc
drwxr-xr-x 3 root suricata 4096 2013-05-06 14:37 include
drwxr-xr-x 4 root suricata 4096 2013-05-06 15:10 lib
drwxrwxr-x 3 root suricata 4096 2013-05-07 17:14 log
drwxrwxr-x 2 root suricata 4096 2013-05-07 16:07 run
drwxr-sr-x 3 root suricata 4096 2013-05-06 14:37 share

J'ai donné au user "suricata" les droits "group" sur l'ensemble des répertoires de /opt/suricata et les droits d'écriture sur les répertoires "log" et "run".
Il faut ensuite réaliser un script de démarrage car je n'en ai pas trouvé de disponible (mon exemplaire est disponible par le lien en bas de page).
Il faut ensuite légèrement modifier le fichier "etc/suricata.yaml" pour l'adapter à la structure de mes répertoires. J'ai désactivé l'option "fast log" qui consomme trop d'espace pour mes besoins de test sur un portable. J'ai aussi réduit la fréquence de stockage des statistiques à 30 minutes.
Après le lancement du produit on peut constater l'arrivée de quelques alertes ... mais elles sont au format "Unified2" et donc illisibles il faut utiliser un interface pour les rendre compréhensibles. Le projet conseille "Barnyard2" qui les enregistre dans une base de données (ici Mysql) et que je vais essayer au prochain épisode.
Le paramétrage du fichier de configuration est très bien expliqué (au moins pour les options "courantes") dans le fichier suricata.yaml.
Vous trouverez ces fichiers en attachement, mes quelques modifications du fichier YAML sont précédées d'un commentaire #JPP.