Настройка аудита событий Suricata

Чтобы настроить журналирование событий Suricata:

  1. Подключитесь по протоколу SSH к серверу, обладающему административными учётными записями.
  2. Создайте резервную копию файла /etc/suricata/suricata.yaml.
  3. Установите в конфигурационном файле /etc/suricata/suricata.yaml в секции eve-log следующие значения:

    - eve-log:

    enabled: yes

    filetype: regular #regular|syslog|unix_dgram|unix_stream|redis

    filename: eve.json

  4. Сохраните изменения в файле конфигурации /etc/suricata/suricata.yaml.

В результате события Suricata будут записываться в файл /usr/local/var/log/suricata/eve.json.

Suricata не поддерживает ограничение размера файла с событиями eve.json. При необходимости вы можете контролировать размер журнала с помощью ротации. Например, для настройки ежечасной ротации журнала добавьте в конфигурационный файл следующие строки:

outputs:

- eve-log:

filename: eve-%Y-%m-%d-%H:%M.json

rotate-interval: hour

В начало