Titre plagié s’il en est, je tiens à vous entretenir de la sécurité de vos petits paquets qui transitent partout sur vos serveurs. On connait bien sur le fameux Snort qui sert depuis des années à vous alerter de différentes actions louches tentées sur vos serveurs. Comme certains le savent déjà, une autre initiative a vu le jour il y a quelques années : Suricata. Une fois la bête installée, il vous faudra les règles snort, et configurer le fichier /etc/suricata/suricata.yaml. Une fois celui-ci configuré, un petit lancement s’impose : /usr/local/bin/suricata -D -c /etc/suricata/suricata.yaml -i eth0 (enlevez le -D pour le lancer en mode interactif).

J’ai ensuite découvert Barnyard2 vous permettant de lire les logs unifiés générés par suricata (mais aussi Snort, c’est écrit par eux). J’ai compilé un RPM pour CentOS 5.5 amd64 pour ceux qui n’aiment pas les sources.

Enfin, pour mettre tout cela en pratique et faire plaisir à votre chef, vous pouvez installer Smooth Sec qui a une belle interface graphique pour faire de la corrélation (basée sur Snorby). Bon j’y retourne, j’ai des règles à écrire.