Alert z sieci mówi, że wykryto podejrzany ruch. Który host i proces go spowodował? Połączenie Suricata z Wazuh pomaga zestawić sygnał z czujnika sieciowego z informacjami ze stacji. To dwa różne źródła: Suricata analizuje ruch, a agent Wazuh zbiera dane z hosta. Korelacja wymaga poprawnej topologii, spójnego czasu i świadomej interpretacji.
Co daje integracja
Suricata może zapisywać zdarzenia w formacie EVE JSON. Wazuh zbiera te dane, dekoduje je i prezentuje jako alerty. W praktyce przydatne są adresy IP, czas, identyfikator reguły oraz kontekst hosta. Nie zakładaj jednak, że każdy alert sieciowy da się jednoznacznie przypisać do procesu: NAT, proxy i zmienne adresy utrudniają identyfikację.
Pilotaż krok po kroku
- Wybierz punkt obserwacji. Ustal, jaki ruch widzi czujnik Suricata. Zapisz segmenty, kierunki ruchu i ograniczenia widoczności.
- Potwierdź dane EVE JSON. Sprawdź, czy Suricata zapisuje oczekiwane typy zdarzeń, a znaczniki czasu i adresy są poprawne.
- Włącz zbieranie logu przez agenta Wazuh. Skonfiguruj monitorowanie właściwego pliku EVE JSON według aktualnej dokumentacji. Nie kopiuj bezrefleksyjnie uprawnień z demonstracyjnego proof of concept do środowiska produkcyjnego.
- Wywołaj bezpieczny test. Użyj kontrolowanego scenariusza uzgodnionego z właścicielem sieci i sprawdź drogę rekordu od Suricata do dashboardu Wazuh.
- Porównaj z hostem. Zweryfikuj, czy adres i czas wskazują konkretną stację oraz czy są dane hostowe potwierdzające hipotezę.
Przykład analizy
Suricata sygnalizuje połączenie do podejrzanego celu. Najpierw sprawdź, czy alert nie dotyczy systemu pośredniczącego. Następnie ustal właściciela adresu źródłowego w danym czasie, sprawdź aktywność hosta i dopiero wtedy oceń, czy potrzeba reakcji. Pojedynczy alarm to punkt startowy, nie gotowy werdykt.
Rekomendacja praktyczna: dla każdej ważnej reguły zapisz krótką kartę triage: jakie pola sprawdzić, jaki kontekst z hosta zebrać, kto decyduje o eskalacji i jak rozpoznawać fałszywe alarmy.
Lista odbioru
- Czujnik widzi zadeklarowany zakres ruchu.
- Wazuh odbiera zdarzenia EVE JSON bez utraty kluczowych pól.
- Czas i adresacja są porównywalne z danymi hostów.
- Jest udokumentowana ścieżka weryfikacji alertu.
Źródło: oficjalny przykład integracji Suricata z Wazuh 4.x. To materiał demonstracyjny; wersje pakietów, ścieżki i uprawnienia należy sprawdzić dla własnego środowiska.