So installieren und konfigurieren Sie Suricata IDS zusammen mit Elastic Stack unter Rocky Linux 8

Suchen Sie als Nächstes die Elasticsearch-Ausgabe Abschnitt der Datei und bearbeiten Sie die Werte von hosts , username , und password Wie nachfolgend dargestellt. Wählen Sie als Benutzernamen elastic Verwenden Sie als Wert und als Passwort den in Schritt 8 dieses Tutorials generierten Wert.

output.elasticsearch:# Array von Hosts, zu denen eine Verbindung hergestellt werden soll. hosts:["ihre_private_IP:9200"] # Protokoll - entweder `http` (Standard) oder `https`. #protocol:"https" # Authentifizierungsdaten - entweder API-Schlüssel oder Benutzername/Passwort. #api_key:"id:api_key" Benutzername:"elastic" Passwort:"bd1YJfhSa8RC8SMvTIwg". . .

Wenn Sie fertig sind, speichern Sie die Datei, indem Sie Strg + X drücken und geben Sie Y ein wenn Sie dazu aufgefordert werden.

Aktivieren Sie als Nächstes das integrierte Suricata-Modul von Filebeat.

$ sudo filebeat-Module aktivieren suricata

Der letzte Schritt bei der Konfiguration von Filebeat besteht darin, die SIEM-Dashboards und Pipelines mithilfe des filebeat setup in Elasticsearch zu laden Befehl.

$ sudo filebeat-Setup

Es kann einige Minuten dauern, bis der Befehl abgeschlossen ist. Sobald Sie fertig sind, sollten Sie die folgende Ausgabe erhalten.

Das Überschreiben der ILM-Richtlinie ist deaktiviert. Legen Sie „setup.ilm.overwrite:true“ zum Aktivieren fest.Index-Setup abgeschlossen.Laden von Dashboards (Kibana muss ausgeführt und erreichbar sein)Laden von DashboardsEinrichten von ML mithilfe von setup --machine-learning wird in 8.0.0 entfernt. Bitte verwenden Sie stattdessen die ML-App. Weitere Informationen finden Sie unter:https://www.elastic.co/guide/en/machine-learning/current/index.html Beat.Loaded Machine Learning-AuftragskonfigurationenLoaded Ingest-Pipelines

Starten Sie den Filebeat-Dienst.

$ sudo systemctl start filebeat

Überprüfen Sie den Status des Dienstes.

$ sudo systemctl status filebeat

Schritt 11 – Zugriff auf das Kibana-Dashboard

Da KIbana so konfiguriert ist, dass es nur über seine private IP-Adresse auf Elasticsearch zugreift, haben Sie zwei Möglichkeiten, darauf zuzugreifen. Die erste Methode besteht darin, von Ihrem PC aus einen SSH-Tunnel zum Elasticsearch-Server zu verwenden. Dadurch wird Port 5601 von Ihrem PC an die private IP-Adresse des Servers weitergeleitet, und Sie können von Ihrem PC unter http://localhost:5601 auf Kibana zugreifen . Aber diese Methode bedeutet, dass Sie nirgendwo anders darauf zugreifen können.

Die Option besteht darin, Nginx auf Ihrem Suricata-Server zu installieren und verwenden Sie es als Reverse-Proxy, um über seine private IP-Adresse auf den Server von Elasticsearch zuzugreifen. Wir werden beide Wege besprechen. Sie können je nach Ihren Anforderungen eine der beiden Möglichkeiten wählen.

Lokalen SSH-Tunnel verwenden

Wenn Sie Windows 10 oder Windows 11 verwenden, können Sie den SSH LocalTunnel über Ihre Windows Powershell ausführen. Unter Linux oder macOS können Sie das Terminal verwenden. Sie müssen wahrscheinlich den SSH-Zugriff konfigurieren, falls Sie dies noch nicht getan haben.

Führen Sie den folgenden Befehl im Terminal Ihres Computers aus, um den SSH-Tunnel zu erstellen.

$ ssh -L 5601:your_private_IP:5601 [email protected]_public_IP -N

• Das -L Flag bezieht sich auf den lokalen SSH-Tunnel, der Datenverkehr vom Port Ihres PCs zum Server weiterleitet.
• Die private_IP:5601 ist die IP-Adresse, an die Ihr Datenverkehr auf dem Server weitergeleitet wird. Ersetzen Sie sie in diesem Fall durch die private IP-Adresse Ihres Elasticsearch-Servers.
• Der your_public_IP ist die öffentliche IP-Adresse des Elasticsearch-Servers, die zum Öffnen einer SSH-Verbindung verwendet wird.
• Das -N Flag weist OpenSSH an, keinen Befehl auszuführen, sondern die Verbindung aufrechtzuerhalten, solange der Tunnel läuft.

Nachdem der Tunnel geöffnet ist, können Sie auf Kibana zugreifen, indem Sie die URL http://localhost:5601 öffnen im Browser Ihres PCs. Sie erhalten den folgenden Bildschirm.

Sie müssen den Befehl so lange ausführen, wie Sie auf Kibana zugreifen müssen. Drücken Sie Strg + C in Ihrem Terminal, um den Tunnel zu schließen.

Nginx-Reverse-Proxy verwenden

Diese Methode eignet sich am besten, wenn Sie von überall auf der Welt auf das Dashboard zugreifen möchten.

Firewall konfigurieren

Bevor Sie fortfahren, müssen Sie HTTP- und HTTPS-Ports in der Firewall öffnen.

$ sudo firewall-cmd --permanent --add-service=http$ sudo firewall-cmd --permanent --add-service=https

Laden Sie die Firewall neu, um die Änderungen zu aktivieren.

$ sudo firewall-cmd --reload

SSL installieren und konfigurieren

Der erste Schritt besteht darin, das SSL-Zertifikat von Let’s Encrypt zu installieren. Da wir das EPEL-Repository bereits eingerichtet haben, installieren Sie das Certbot-Tool.

$ sudo dnf install certbot

Generieren Sie das SSL-Zertifikat für die Domain kibana.example.com .

$ sudo certbot certonly --standalone --agree-tos --no-eff-email --staple-ocsp --preferred-challenges http -m [email protected] -d kibana.example.com

Der obige Befehl lädt ein Zertifikat in /etc/letsencrypt/live/kibana.example.com herunter Verzeichnis auf Ihrem Server.

Erstellen Sie eine Diffie-Hellman-Gruppe Zertifikat.

$ sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

Create a challenge web root directory for Let's Encrypt auto-renewal.

$ sudo mkdir -p /var/lib/letsencrypt

Erstellen Sie einen Cron-Job, um das SSL zu erneuern. Es wird jeden Tag ausgeführt, um das Zertifikat zu überprüfen und bei Bedarf zu erneuern. Erstellen Sie dazu zunächst die Datei /etc/cron.daily/certbot-renew und zum Bearbeiten öffnen.

$ sudo nano /etc/cron.daily/certbot-renew

Fügen Sie den folgenden Code ein.

#!/bin/shcertbot renew --cert-name kibana.example.com --webroot -w /var/lib/letsencrypt/ --post-hook "systemctl reload nginx"

Speichern Sie die Datei, indem Sie Strg + X drücken und geben Sie Y ein wenn Sie dazu aufgefordert werden.

Ändern Sie die Berechtigungen für die Aufgabendatei, um sie ausführbar zu machen.

$ sudo chmod +x /etc/cron.daily/certbot-renew

Install and Configure Nginx

Rocket Linux 8.5 ships with the latest stable version of Nginx as a module. Install it using the following command.

$ sudo dnf module install nginx:1.20

You can check the version you want to install using the following command.

$ dnf module list nginxRocky Linux 8 - AppStreamName Stream Profiles Summarynginx 1.14 [d] common [d] nginx webservernginx 1.16 common [d] nginx webservernginx 1.18 common [d] nginx webservernginx 1.20 [e] common [d] [i] nginx webserverExtra Packages for Enterprise Linux Modular 8 - x86_64Name Stream Profiles Summarynginx mainline common nginx webservernginx 1.20 [e] common [d] [i] nginx webserver

Confirm the Nginx installation.

$ nginx -vnginx version 1.20.1

Aktivieren Sie den Nginx-Dienst.

$ sudo systemctl enable nginx

Create and open the Nginx configuration file for Kibana.

$ sudo nano /etc/nginx/conf.d/kibana.conf

Paste the following code in it. Replace the IP address with the private IP address of your Elasticsearch server.

server {listen 80; hör zu [::]:80; server_name kibana.example.com; return 301 https://$host$request_uri;}server { server_name kibana.example.com; Zeichensatz utf-8; hören 443 ssl http2; hören [::]:443 ssl http2; access_log /var/log/nginx/kibana.access.log; error_log /var/log/nginx/kibana.error.log; ssl_certificate /etc/letsencrypt/live/kibana.example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/kibana.example.com/privkey.pem; ssl_trusted_certificate /etc/letsencrypt/live/kibana.example.com/chain.pem; ssl_session_timeout 1d; ssl_session_cache freigegeben:MozSSL:10m; ssl_session_tickets aus; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE -RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384; resolver 8.8.8.8; ssl_stapling an; ssl_stapling_verify an; ssl_dhparam /etc/ssl/certs/dhparam.pem; location / { proxy_pass http://your_private_IP:5601; Proxy_set_header Host $host; Proxy_Set_Header X-Real-IP $remote_addr; Proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $schema; }}

Speichern Sie die Datei, indem Sie Strg + X drücken und geben Sie Y ein wenn Sie dazu aufgefordert werden.

Öffnen Sie die Datei /etc/nginx/nginx.conf zum Bearbeiten.

$ sudo nano /etc/nginx/nginx.conf

Fügen Sie die folgende Zeile vor der Zeile include /etc/nginx/conf.d/*.conf; hinzu .

server_names_hash_bucket_size 64;

Speichern Sie die Datei, indem Sie Strg + X drücken und geben Sie Y ein wenn Sie dazu aufgefordert werden.

Verify the configuration.

$ sudo nginx -tnginx:the configuration file /etc/nginx/nginx.conf syntax is oknginx:configuration file /etc/nginx/nginx.conf test is successful

Start the Nginx service.

$ sudo systemctl start nginx

Your Kibana dashboard should be accessible via the URL https://kibana.example.com from anywhere you want.

Step 12 - Managing Kibana Dashboards

Before proceeding further with managing the dashboards, you need to add the base URL field in Kibana's configuration.

Open Kibana's configuration file.

$ sudo nano /etc/kibana/kibana.yml

Find the commented line #server.publicBaseUrl: "" and change it as follows by removing the hash in front of it.

server.publicBaseUrl:"https://kibana.example.com"

Speichern Sie die Datei, indem Sie Strg + X drücken und geben Sie Y ein wenn Sie dazu aufgefordert werden.

Restart the Kibana service.

$ sudo systemctl restart kibana

Wait for a few minutes and load the URL https://kibana.example.com in your browser. Log in with the username elastic and the password you generated before (bd1YJfhSa8RC8SMvTIwg ) and you will get the following screen.

Type type:data suricata in the search box at the top to locate Suricata's information.

Click the first result ([Filebeat Suricata] Alert Overview ), and you will get a screen similar to the following. By default, it shows the entries for only the last 15 minutes, but we are displaying it over a larger timespan to show more data for the tutorial.

Click on the Events button to view all the logged events.

On scrolling down on events and alert pages, you can identify each event and alert by the type of protocol, the source and destination ports, and the IP address of the source. You can also view the countries from where the traffic originated.

You can use Kibana and Filebeat to access and generate other types of dashboards. One of the useful in-built dashboards that you can right away is the Security dashboard. Klicken Sie auf das Netzwerk dashboard from the left hamburger menu, and you will get the following screen.

You can add more dashboards like Nginx by enabling and configuring in-built Filebeat modules.

Schlussfolgerung

This concludes the tutorial for installing and configuring Suricata IDS with Elastic Stack on a Rocky Linux 8 based server. You also configured Nginx as a reverse proxy to access Kibana dashboards externally. Wenn Sie Fragen haben, posten Sie diese in den Kommentaren unten.