Utilizzo di Suricata per la gestione dei flussi

[coccodrillo44]

Configuro Suricata per esportare i flussi e gli allarmi in syslog e, tramite un syslog collector, mostro gli host che hanno più allarmi o situazioni critiche e lo notifico.

[lucaderi]

Dettaglia meglio quello che vuoi fare in termini di componenti realizzati, nonche' di misure che proponi di effettuare.

[coccodrillo44]

L’obiettivo del progetto è costruire un mini sistema di monitoraggio di sicurezza di rete in cui:
• Suricata osserva il traffico e genera eventi di sicurezza (alert).
• EveBox standalone (SQLite) fa da interfaccia web per esplorare questi alert in modo comodo e strutturato.

Il sistema deve permettere a un amministratore di:
• Vedere in tempo reale gli alert generati da Suricata: cosa è successo, dove, quando, con quale regola.
• Esplorare e filtrare gli eventi tramite la UI di EveBox: per IP sorgente/destinazione, firma, categoria, severità, intervallo temporale, ecc.
• Contestualizzare gli incidenti: capire se un singolo alert è isolato o parte di un pattern (tanti alert dallo stesso host, ripetuti nel tempo).

Ruolo di Suricata nel progetto
• Sniffa il traffico di rete sull’interfaccia decisa.
• Applica un set di regole (Emerging Threats, regole custom, ecc.) per identificare minacce, anomalie o comportamenti sospetti.
• Quando una regola scatta, genera un evento EVE JSON con event_type: "alert" e dettagli completi (IP, porte, protocollo, firma, categoria, severità, timestamp, ecc.).
• Scrive questi eventi nel file log eve.json, che diventa la fonte dati primaria per EveBox.

Ruolo di EveBox standalone (SQLite)
• Usa un database SQLite embedded.
• Legge direttamente uno o più file EVE JSON (tipicamente /var/log/suricata/eve.json) e li importa nel proprio datastore.
• Espone un’interfaccia web con:
◦ Inbox di alert: una lista di eventi, simile a una casella di posta, dove ogni alert è una “mail” con dettagli.
◦ Funzioni di ricerca e filtraggio per campi specifici (IP, firma, severità, periodo di tempo).
◦ Vista aggregata per aiutare la triage (quali regole scattano di più, quali host compaiono spesso, ecc.).

Flusso dati end‑to‑end
1. Traffico di rete → Suricata
◦ Il traffico passa sull’interfaccia monitorata.
◦ Suricata decodifica protocolli, applica regole, rileva situazioni sospette.
2. Suricata → eve.json
◦ Gli alert e altri eventi vengono serializzati in JSON con struttura standard EVE (top-level con timestamp, event_type, src_ip, dest_ip, blocco alert, ecc.).
◦ Suricata scrive continuativamente nel file /var/log/suricata/eve.json.
3. eve.json → EveBox
◦ L’istanza EveBox standalone viene configurata per usare SQLite e leggere direttamente eve.json
◦ EveBox importa gli eventi nel suo database SQLite, gestendo retention (es. cancellare automaticamente eventi più vecchi di N giorni) e indicizzazione basilare.
4. EveBox → UI per l’utente
◦ L’utente accede all’interfaccia web e fa login con credenziali admin generate alla prima esecuzione.
◦ Tramite la UI, l’utente naviga inbox, cerca pattern, filtra eventi e apre i dettagli di un alert.

[lucaderi]

Ok ma come si incastra questo progetto col corso di gestione di rete e con gli argomenti trattati a lezione?

[lucaderi]

A me sta' bene se usi suricata come sorgente di dati, ma questo corso si focalizza sull'analisi del traffico e quindi devi analizzare il traffico non solo raccoglierlo con programmi terzi. ad esempio

• crea serie temporali di allarmi (divisi per tipologia o target) e vedi come questi cambiano nel tempo
• correla allarmi tra fi solo (o anche solo gli eventi di eve.log0 e rileva ad esempio scan di rete o altre situazioni non rilevate dai fingerprint di suricata

Quindi l'obiettivo e' l'analisi dei dati, non la raccolta di flussi di rete con un programma esistente senza interprete dati.

Per finire: come pensi di testare quanto sviluppato? Dettaglia questo aspetto importante nella tua proposta