Suricata ใช้ในความปลอดภัยเครือข่ายได้อย่างไร?

Suricata ทำงานอย่างไร?

Suricata ดึงข้อมูลจากระบบทีละแพ็กเก็ต (Packet) → Pre-process → ส่งไปยัง Detection Engine สามารถรันในโหมด IDS ด้วย pcap หรือใช้ nfnetlink_queue ของ Linux เพื่อตรวจจับภัยคุกคามเครือข่าย แพ็กเก็ตที่ตรวจพบจะถูก Drop (ทิ้ง)

Suricata ตรวจจับอะไรได้บ้าง?

• ระบุประเภทไฟล์ (File Identification)
• ตรวจสอบ MD5 Checksums
• ดึงไฟล์ออกมา (File Extraction)
• ติดตามการเปลี่ยนแปลงไฟล์ระบบด้วย MD5
• ค้นหาไฟล์มัลแวร์ที่รู้จัก MD5

Suricata เป็น Signature-based หรือไม่?

ใช่ Suricata เป็นแพลตฟอร์มตรวจจับการบุกรุกแบบ Signature-based ที่เป็น Best-of-breed เป็นหนึ่งใน 3 Detection Engines หลักของ Bricata

ใช้ Suricata บน Linux อย่างไร?

1. ดาวน์โหลดซอฟต์แวร์ฟรี
2. เพิ่มการตั้งค่าที่จำเป็น
3. เข้าไดเรกทอรีเก็บซอฟต์แวร์
4. Compile, Build, Configure, Install
5. ตั้งค่าสิทธิ์ (Permissions)
6. ตั้งค่า IDS เป็น Daemon
7. ตรวจสอบ Logs

ใครใช้ Suricata?

บริษัทอย่าง Code42 (Revenue >1000M, Size >10000) และ Carnegie Mellon University (cmu.edu)

Suricata เป็น Firewall หรือไม่?

ไม่ใช่ Firewall โดยตรง แต่ตั้งแต่พฤศจิกายน 2020 สามารถใช้ Suricata IPS Rules ร่วมกับ AWS Network Firewall Service ได้ โดยนำเข้า Open Source Rulesets หรือเขียน IPS Rules เองด้วย Syntax ของ Suricata

Suricata ดีแค่ไหน?

รีวิวบวก: Suricata เป็น Open Source Network-based IDS ที่คุ้มค่า ร่วมกับ Open Source Rulesets อื่นๆ มีโอกาสตรวจจับภัยคุกคามเครือข่ายได้ค่อนข้างดี

Suricata Rule คืออะไร?

รองรับโปรโตคอล Layer 7: HTTP, FTP, TLS/SSL, SMB, DNS (ตั้งแต่ v2.0) ใช้ HTTP Protocol เพื่อจับคู่ Signature เฉพาะ Traffic HTTP

Suricata เป็น Host-based หรือไม่?

มี 3 แบบการใช้งาน:
1. Host-based IDS (ง่ายสุด) - ติดตาม Traffic ของแต่ละเครื่อง
2. Network-based - ติดตาม Traffic ทั้งเครือข่าย แจ้งเตือนแอดมินเมื่อพบกิจกรรมอันตราย

NIDS ตรวจจับอะไรได้?

• Signature-based: รูปแบบเฉพาะใน Traffic (Byte counts, 1s, 0s)
• Malware: ลำดับคำสั่งมัลแวร์ที่รู้จักมาก่อน

Suricata เป็น Anomaly-based หรือไม่?

ไม่ Suricata เป็น Signature-based สำหรับการโจมตีที่รู้จัก ส่วน Isolation Forest Algorithm (IFA) ใช้สำหรับ Anomaly Detection Suricata พัฒนาเป็น Multi-threaded Alternative ของ Snort

Snort ดีกว่า Suricata หรือไม่?

Suricata ใช้ OpenAppID สำหรับ Application Detection แต่ช้ากว่า Snort สรุปความแตกต่างได้ในประโยคเดียว

Suricata เป็น NIDS หรือไม่?

ใช่ Suricata เป็น Open Source Threat Detection Engine ขั้นสูงสุด มีผู้ใช้งานกว่า 31 ล้านคนทั่วโลก

Suricata Signature คืออะไร?

ดึงมาจาก Emerging Threats Database (Open Source Rules) ดาวน์โหลดและใช้ใน Suricata ได้

Suricata เป็น Host-based หรือ Network-based?

เป็น Network-based Threat Detection Engine เปิดโค้ด ใช้ได้สำหรับ IDS, IPS และ NSM (Network Security Monitoring)

Snort เป็น Anomaly-based หรือ Signature-based?

Snort ใช้ Signature Detection (จับคู่ Pattern ใน Traffic) ไม่ใช่ Anomaly Detection

รัน Suricata บน Linux อย่างไร?

1. สร้าง Atlantic.Net Cloud Server
2. Login เข้า Server
3. Install Dependencies
4. Install Suricata
5. Configure Suricata
6. Test ต่อ DDoS

รัน Suricata บน Ubuntu อย่างไร?

Ubuntu 18: Install จาก Source → Default เป็น IDS Mode → ต้องติดตั้ง Library เพิ่มสำหรับ IPS → Extract Tarball → Configure Engine ให้ Compile

เข้าถึง Suricata อย่างไร?

สร้าง VM → ตั้งค่า Network Adapter 2 → Install OS (Ubuntu 32-bit) → เริ่มใช้งาน IDS

รัน Suricata ในโหมด IPS อย่างไร?

1. ติดตั้ง Netfilter Packages
2. เปิด NFqueue ใน Config
3. Build และ Install
4. สร้าง iptables Rules และ Config Firewall
5. ตั้งค่า Suricata โหมด NFQ
6. เริ่ม Suricata กรองแพ็กเก็ตผ่าน NFQUEUE