Comment installer Suricata IDS sur le serveur Ubuntu 24.04

Suricata est un IDS (système de détection d’intrusion) et un IPS (système de prévention d’intrusion) open-source développé par OSIF (open infosec foundation). Il peut surveiller et examiner le trafic réseau et traiter chaque paquet pour détecter une activité réseau malveillante. Vous pouvez configurer des événements de journal, déclencher des alertes et même bloquer le trafic pour une activité réseau suspecte.

Ce tutoriel vous montrera comment installer Suricata IDS sur le serveur Ubuntu 24.04. Vous allez installer et configurer Suricata, télécharger des signatures et des règles ET, puis démarrer Suricata en arrière-plan en tant que service systemd.

Prérequis

Pour commencer ce guide, assurez-vous d’avoir les éléments suivants :

• Un serveur Ubuntu 24.04.
• Un utilisateur non-root avec des privilèges d’administrateur.

Installation à partir du code source

Dans cette section, vous apprendrez comment installer Suricata à partir du code source en le compilant manuellement sur votre système. Et avant cela, vous installerez les dépendances de package pour compiler Suricata.

Tout d’abord, exécutez la commande ci-dessous pour mettre à jour l’index de package Ubuntu et installer les dépendances de construction. Entrez ‘ Y ‘ pour confirmer l’installation.

sudo apt update  
sudo apt install autoconf automake build-essential cargo \  
cbindgen libjansson-dev libpcap-dev libcap-ng-dev libmagic-dev liblz4-dev libpcre2-dev libtool \  
libyaml-dev make pkg-config rustc zlib1g-dev

Maintenant, allez dans le répertoire ‘ /usr/src ‘ et exécutez la commande suivante pour télécharger le code source de Suricata et l’extraire.

cd /usr/src

wget https://www.openinfosecfoundation.org/download/suricata-7.0.6.tar.gz  
tar -xf suricata-7.0.6.tar.gz

Allez dans le répertoire ‘ suricata-7.0.6 ‘ et configurez la compilation de Suricata avec ce qui suit. Avec cela, vous allez configurer et installer le fichier binaire suricata dans le répertoire ‘ /usr/bin ‘, la configuration suricata dans ‘ /etc/suricata ‘, et le répertoire de données dans ‘ /var/lib/suricata ‘.

cd suricata-7.0.6/  
./configure --enable-nfqueue --prefix=/usr --sysconfdir=/etc --localstatedir=/var

Après la fin du processus, copiez et installez suricata avec la commande ci-dessous.

sudo make && sudo make install-full

Une fois l’installation terminée, vous verrez ce qui suit :

Enfin, exécutez la commande ci-dessous pour localiser le fichier binaire ‘ suricata ‘ et vérifier sa version.

which suricata  
suricata --build-info

Dans la sortie suivante, vous pouvez voir que suricata ‘ 7.0.6 ‘ est installé à ‘ /usr/bin/suricata ‘.

Installation via le dépôt PPA

Si vous préférez installer Suricata via APT, vous devez ajouter le dépôt PPA de suricata à votre système Ubuntu. Assurez-vous également que le package ‘ software-properties ‘ est installé.

Ajoutez le dépôt PPA pour suricata avec ce qui suit :

sudo add-apt-repository ppa:oisf/suricata-stable

Maintenant, mettez à jour votre index de dépôt de packages Ubuntu et installez suricata avec la commande ‘ apt ‘ ci-dessous.

sudo apt update  
sudo apt install suricata

Entrez ‘ Y ‘ pour continuer avec l’installation.

Après l’installation, vérifiez le fichier binaire suricata et sa version avec la commande ci-dessous.

which suricata  
suricata --build-info

Vous pouvez voir ci-dessous que suricata 7.0.6 est installé via le gestionnaire de packages APT.

Enfin, exécutez la commande ci-dessous pour activer et arrêter le service ‘ suricata ‘. Vous devez arrêter suricata avant de le configurer.

sudo systemctl enable suricata  
sudo systemctl stop suricata

Configuration de Suricata

Dans cette section, vous allez configurer Suricata pour surveiller l’interface réseau. Suricata capturera le trafic malveillant sur l’interface cible.

Ouvrez la configuration par défaut de suricata ‘ /etc/suricata/suricata.yaml ‘ en utilisant l’éditeur ‘ nano ‘.

sudo nano /etc/suricata/suricata.yaml

Si vous utilisez un réseau local, ajoutez votre sous-réseau domestique aux variables ‘ HOME_NET ‘ et ‘ EXTERNAL_NET ‘.

HOME_NET: "[192.168.5.0/24]"  
...  
EXTERNAL_NET: "!$HOME_NET"

Dans la section ‘ af-packet ‘, changez l’interface par défaut en votre interface cible. Dans cet exemple, nous allons surveiller l’interface ‘ enp0s3 ‘ avec suricata.

af-packet:  
 - interface: enp0s3

Ajoutez l’option ‘ detect-engine ‘ avec ‘ rule-reload: true ‘ pour activer le rechargement en direct des règles.

detect-engine:  
 - rule-reload: true

Une fois terminé, enregistrez le fichier et quittez l’éditeur.

Mise à jour des ensembles de règles suricata

Avant de démarrer et d’exécuter Suricata, vous devez télécharger et mettre à jour les signatures et les règles suricata. Cela peut être fait via l’utilitaire de commande ‘suricata-update’.

Exécutez la commande ‘ suricata-update ‘ ci-dessous pour télécharger et mettre à jour les règles ET de suricata. Suricata ne démarrera pas lorsque les règles ET sont manquantes.

sudo suricata-update

Les règles suricata sont écrites dans le fichier ‘ /var/lib/suricata/suricata.rules ‘ comme suit :

Vous pouvez vérifier les sources des règles avec la commande suivante :

sudo suricata-update list-sources

Exécution de suricata

Maintenant que vous avez configuré Suricata, téléchargé et mis à jour les règles ET, vous allez tester les règles suricata, puis démarrer et vérifier le service ‘suricata’.

Pour tester les règles suricata, exécutez la commande ‘ suricata ‘ ci-dessous. Cela traitera les règles disponibles dans le fichier ‘ /var/wlib/suricata/suricata.rules ‘.

sudo suricata -T -c /etc/suricata/suricata.yaml -v

S’il n’y a pas d’erreur, vous aurez une sortie ‘ suricata: La configuration fournie a été chargée avec succès. ‘

Maintenant, exécutez la commande ci-dessous pour démarrer le service ‘suricata’ en arrière-plan et le vérifier.

sudo systemctl start suricata  
sudo systemctl status suricata

Dans la sortie suivante, vous pouvez voir que le service ‘ suricata ‘ est en cours d’exécution.

Conclusion

Félicitations ! Vous avez terminé l’installation de Suricata IDS sur le serveur Ubuntu 24.04. Vous avez appris deux méthodes pour installer Suricata, en le compilant manuellement à partir de la source et via le gestionnaire de packages APT. Vous avez également appris à configurer Suricata, à mettre à jour les signatures et les règles suricata, et à tester les règles suricata.