Suricata en cours d'exécution sur votre Vigor3912S

Configuration

#### 1. Assurez-vous que le Vigor3912S peut accéder à Internet avant la configuration.

2. Accédez à Linux Applications > General Setup, entrez l'adresse IP Linux, l'adresse IP de passerelle et sélectionnez l'interface LAN. Cochez pour activer le service SSH Linux. L'adresse IP Linux doit être dans le même sous-réseau LAN que le Vigor3912S.

#### 3. Configuration de Suricata

3.1. Accédez à Linux Applications > Suricata, cochez Enable pour activer Suricata. Le routeur commencera à télécharger l'image de firmware Docker du réseau Internet. Attendez quelques minutes. Lorsque vous voyez le statut du noyau de Suricata passer d'indisponible à en cours d'exécution, cela signifie que l'installation de Suricata est réussie.

Pour garder la version de Suricata à jour, il est recommandé d'activer les options Suricata Core Auto Update et Suricata Rule Auto Update, puis le Vigor3912S vérifiera quotidiennement s'il y a une nouvelle version disponible et effectuera automatiquement la mise à jour.

**Core Base**: Deux Core Bases sont fournies. v3912-r1 utilise Suricata version 6.0.x ; v3912-r2 utilise Suricata version 7.0.x ; La version exacte de Suricata sera affichée derrière la version du Core Base.
**Suricata Core Auto Update**: Programme en arrière-plan qui s'exécute constamment et est exécuté toutes les 24 heures pour vérifier si une nouvelle image de noyau est disponible. Si le conteneur Suricata est en cours d'exécution, le système téléchargera simplement l'image. L'image nouvellement téléchargée sera utilisée pour exécuter le conteneur jusqu'au prochain redémarrage du système.
**Suricata Core Auto Update**: Le Vigor vérifiera les mises à jour environ à 6:30 am heure locale chaque jour.
**Core/Rule Last Updated** : Heure de la dernière vérification.
**Rule Last Changed** : Heure de la dernière modification des règles.

Notez que même si l'image du noyau n'est pas mise à jour, cela ne signifie pas qu'il n'y a pas de mises à jour pour les règles Suricata. L'image du noyau suit un processus SOP pour détecter et mettre à jour les règles.

3.2. Suricata dispose d'environ 60 000 règles, dont plus de 6 000 règles CVE. Les règles ont quatre niveaux de priorité. Nous pouvons sélectionner des règles avec Priorité en utilisant le bouton Sélectionner Tout (1)(2)(3)(4) ou les options de règle par classe dans Rule Setup (classtype). Le nombre à l'arrière de l'option de règle par classe est la priorité. 1 signifie la plus haute priorité.

#### 4. Après cette configuration, Suricata s'exécute sur le Vigor3912S pour détecter les activités réseau.

Lorsque la règle Suricata est modifiée, le Vigor3912S rechargera le service Suricata et il peut prendre quelques minutes pour voir l'état passer de stoppé à chargé puis en cours d'exécution.

Vérification des journaux

5. Accédez à Linux Applications > Log Collector. Sélectionnez la plage horaire et SURICATA comme Facility pour visualiser les événements réseau détectés par SURICATA. Les événements détectés ne sont pas nécessairement tous réellement mauvais. Il faut vérifier quel événement réseau a déclenché le journal et déterminer l'action à entreprendre. Si l'événement réseau est normal, nous pouvons désélectionner la règle spécifique de classe dans Rule Setup.

6. Nous pouvons également activer les notifications Web via Applications > Smart Action pour voir les notifications Suricata.

Sélectionnez System pour la Category Event
Sélectionnez Log Keyword Match pour le Type Event
Entrez .* dans le Keyword Content. Cela signifie n'importe quel journal.
Keyword Type REGEX ou TEXT

REGEX signifie Expression régulière, ce qui nous permet d'utiliser un modèle défini pour rechercher. TEXT est une chaîne, généralement utilisée sans caractères spéciaux.

Count 1 Time Span 0 second signifie envoyer une notification Web pour tout événement.
Sélectionnez SURICATA pour Facility
Sélectionnez INFO(6) pour Level.
Sélectionnez System pour la Category Action
Sélectionnez Web Notification pour le Type Action

Ensuite, nous pouvons voir les notifications en cliquant sur l'icône de cloche sur le routeur Web.

Nous pouvons visualiser tous les comptes correspondants des règles Suricata dans le réseau via la page Statistiques.

Blocage

7. Sélectionnez Enable DoS Defense et cliquez sur OK via Firewall > DoS Defense. Il est nécessaire que ce blocage fonctionne avec la version actuelle du firmware (Vigor3912S l'activera automatiquement lorsque Suricata s'exécute dans une future version de firmware.)

8. Sélectionnez Enable Data Flow Monitor via Diagnostics > Data Flow Monitor. Il est nécessaire que ce blocage fonctionne avec la version actuelle du firmware (Vigor3912S l'activera automatiquement lorsque Suricata s'exécute dans une future version de firmware.)

#### 9. Utilisation des profils d'action intelligente pour bloquer temporairement les IP qui correspondent à certains mots-clés

9.1 Exemple 1 : Bloquez l'IP publique correspondant aux mots-clés MALWARE, Exploit, Phishing, WORM ou DOS. La correspondance de mot-clé est insensible à la casse.

Créez un profil d'action intelligente via Applications > Smart Action > User Defined comme suit :

Type Event : Log Keyword Match
Mot clé : (MALWARE | Exploit | Phishing | WORM | DOS)
Le champ Keyword Content est où nous définissons les événements spécifiques que nous voulons filtrer. Entrez (MALWARE | Exploit | Phishing | WORM | DOS) dans le champ Keyword Content, et Vigor filtrera les journaux d'événement avec les mots-clés MALWARE, Exploit, Phishing, WORM ou DOS.
Type Mot Clé : REGEX
Facility : SURICATA
Action : Block IP

Bloquer le suivant si présent :

Si vous souhaitez bloquer l'IP source lors de la détection d'un tel événement, sélectionnez First IP ou Private IP.

Si vous souhaitez bloquer l'IP destination lors de la dé