SELKS Suricata 检测实战从告警到误报判定一次跑通【免费下载链接】Clear-NDR-ISOA Suricata based NDR distribution项目地址: https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO凌晨收到一条 SID 告警你需要在三十秒内判断它是真威胁还是误报。SELKS 是基于 Suricata 的网络检测发行版把 Suricata、Elasticsearch、Kibana 打包成容器开箱即用。这篇文章带你用仓库里现成的脚本走完出告警、查流量、调规则的完整闭环。4 条命令启动5 分钟看到第一份检测结果先 clone 仓库git clone https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO进入 docker 目录用-i指定要监听的网卡非交互模式下接口名写错脚本会直接退出cd Clear-NDR-ISO/docker sudo ./easy-setup.sh -i eth0 -nsetup 脚本会写.env并拉取镜像然后启动整套容器docker-compose up -d判断是否就绪看 Suricata 的启动输出出现Engine started才算真正开始检测docker logs suricata --tail 50浏览器访问本机https://127.0.0.1/证书自签用selks-user/selks-user登录。原始日志落在docker/containers-data/suricata/logs/其中eve.json就是检测结果的 JSON 流。SELKS 文件传输事件监控视图按场景拆每个动作背后是一条真实命令当你需要验证新规则时先拿 pcap 回放。readpcap.sh会起一个一次性 Suricata 容器读取 pcap 并套上当前规则单包模式便于逐条复现sudo ./scripts/readpcap.sh /path/to/capture.pcap跑完终端直接打印告警行结果文件落在docker/containers-data/suricata/logs/eve.json。当你需要只跑自己的规则时加-S让回放只加载这一个规则文件排除现有规则集的干扰sudo ./scripts/readpcap.sh -S /path/to/my.rules capture.pcap当你想量化误报率时同一份 pcap 加-a切到 autofp 模式Suricata 会自动统计每条规则的误报比例不用逐条肉眼核sudo ./scripts/readpcap.sh -a /path/to/capture.pcapSELKS KRB5 协议事件仪表盘当你需要日常更新规则或轮转日志时别手改scirius.rules用这两个脚本docker/containers-data/cron-jobs/daily/下每天 2 点自动跑也可以手动触发sudo ./containers-data/cron-jobs/daily/scirius-update-suri-rules.sh sudo ./containers-data/cron-jobs/daily/suricata-logrotate.sh成功时打印done.失败打印ERROR。少有人用的组合参数-c加--cleanup可以在回放前清掉 Elasticsearch 索引、Arkime 数据和 Suricata 日志做干净实验用注意它会rm掉docker/containers-data/suricata/logs/下的历史文件。--runmode在 readpcap.sh 里写死单包用single加-a自动切autofp改 yaml 里runmode: workers不影响回放。想自定义日志输出位置直接给容器加-l 目录容器里等效为--set default-log-dir目录具体键名以项目最新文档为准。新手常踩的 3 个坑Q脚本提示 Please run this script as root or with sudo少加了 sudoreadpcap.sh、cleanup.sh 都要 root 才能访问 docker 守护进程。Qeasy-setup.sh -n直接退出非交互模式必须带-i 接口且接口必须真实存在于/sys/class/net/先ip a确认再写。Qreadpcap.sh 报 Only one of -s and -S can be used-s是叠加现有规则集加载-S是排他加载二者只能选一个。接下来往哪走部署细节看docker/README.md定时任务机制看docker/containers-data/cron-jobs/README.md字段含义拿不准就翻doc/example-logs/里的 JSON 示例。规则开关都集中在docker/containers-data/suricata/etc/selks6-addin.yaml的rule-files段注释即启用。【免费下载链接】Clear-NDR-ISOA Suricata based NDR distribution项目地址: https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 SELKS Suricata 检测实战：从告警到误报判定一次跑通
SELKS Suricata 检测实战从告警到误报判定一次跑通【免费下载链接】Clear-NDR-ISOA Suricata based NDR distribution项目地址: https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO凌晨收到一条 SID 告警你需要在三十秒内判断它是真威胁还是误报。SELKS 是基于 Suricata 的网络检测发行版把 Suricata、Elasticsearch、Kibana 打包成容器开箱即用。这篇文章带你用仓库里现成的脚本走完出告警、查流量、调规则的完整闭环。4 条命令启动5 分钟看到第一份检测结果先 clone 仓库git clone https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO进入 docker 目录用-i指定要监听的网卡非交互模式下接口名写错脚本会直接退出cd Clear-NDR-ISO/docker sudo ./easy-setup.sh -i eth0 -nsetup 脚本会写.env并拉取镜像然后启动整套容器docker-compose up -d判断是否就绪看 Suricata 的启动输出出现Engine started才算真正开始检测docker logs suricata --tail 50浏览器访问本机https://127.0.0.1/证书自签用selks-user/selks-user登录。原始日志落在docker/containers-data/suricata/logs/其中eve.json就是检测结果的 JSON 流。SELKS 文件传输事件监控视图按场景拆每个动作背后是一条真实命令当你需要验证新规则时先拿 pcap 回放。readpcap.sh会起一个一次性 Suricata 容器读取 pcap 并套上当前规则单包模式便于逐条复现sudo ./scripts/readpcap.sh /path/to/capture.pcap跑完终端直接打印告警行结果文件落在docker/containers-data/suricata/logs/eve.json。当你需要只跑自己的规则时加-S让回放只加载这一个规则文件排除现有规则集的干扰sudo ./scripts/readpcap.sh -S /path/to/my.rules capture.pcap当你想量化误报率时同一份 pcap 加-a切到 autofp 模式Suricata 会自动统计每条规则的误报比例不用逐条肉眼核sudo ./scripts/readpcap.sh -a /path/to/capture.pcapSELKS KRB5 协议事件仪表盘当你需要日常更新规则或轮转日志时别手改scirius.rules用这两个脚本docker/containers-data/cron-jobs/daily/下每天 2 点自动跑也可以手动触发sudo ./containers-data/cron-jobs/daily/scirius-update-suri-rules.sh sudo ./containers-data/cron-jobs/daily/suricata-logrotate.sh成功时打印done.失败打印ERROR。少有人用的组合参数-c加--cleanup可以在回放前清掉 Elasticsearch 索引、Arkime 数据和 Suricata 日志做干净实验用注意它会rm掉docker/containers-data/suricata/logs/下的历史文件。--runmode在 readpcap.sh 里写死单包用single加-a自动切autofp改 yaml 里runmode: workers不影响回放。想自定义日志输出位置直接给容器加-l 目录容器里等效为--set default-log-dir目录具体键名以项目最新文档为准。新手常踩的 3 个坑Q脚本提示 Please run this script as root or with sudo少加了 sudoreadpcap.sh、cleanup.sh 都要 root 才能访问 docker 守护进程。Qeasy-setup.sh -n直接退出非交互模式必须带-i 接口且接口必须真实存在于/sys/class/net/先ip a确认再写。Qreadpcap.sh 报 Only one of -s and -S can be used-s是叠加现有规则集加载-S是排他加载二者只能选一个。接下来往哪走部署细节看docker/README.md定时任务机制看docker/containers-data/cron-jobs/README.md字段含义拿不准就翻doc/example-logs/里的 JSON 示例。规则开关都集中在docker/containers-data/suricata/etc/selks6-addin.yaml的rule-files段注释即启用。【免费下载链接】Clear-NDR-ISOA Suricata based NDR distribution项目地址: https://gitcode.com/GitHub_Trending/se/Clear-NDR-ISO创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考