流量分析利器arkime的学习之路（三）---结合Suricata攻击检测

1、基础

Arkime安装部分参考《流量分析利器arkime的学习之路（一）—安装部署》
在此基础上安装suricata软件并配置。

2、安装suricata

yum install suricate 

可能依赖的文件包括libyaml，PyYAML，这些可能在之前安装arkime或者其他软件的时候已经安装好了。

3、规则

suricata-update 可以在线更新下rules。如果是离线安装，将下载好的rules文件解压到文件夹/var/lib/suricata/下，

其中suricata.rules是默认的配置规则

4、启动命令

suricata -c /etc/suricata/suricata.yaml -i $ifname &

5、联动arkime

主要是修改arkime的配置文件，并且suricate要提前于arkime启动
修改消息权限

chmod o+r /var/log/suricata/eve.json

修改arkime配置文件

sed -i "s/dropUser=nobody/dropUser=root/g" /opt/arkime/etc/config.ini

增加插件支持

sed -i "216a plugins=suricata.so" /opt/arkime/etc/config.ini
sed -i "217a suricataAlertFile=/var/log/suricata/eve.json" /opt/arkime/etc/config.ini
sed -i "218a suricataExpireMinutes=60" /opt/arkime/etc/config.ini

重新启动arkime抓包程序

systemctl restart arkimecapture.service

可以下载报文

可以看到http交互内容