Suricata

Suricata — программный движок анализа сетевого трафика с открытым исходным кодом, применяемый как IDS, IPS и средство сетевого мониторинга. Он декодирует протоколы, сопоставляет трафик с правилами и формирует события о сетевой активности и выявленных угрозах. Suricata поддерживает многопоточную обработку, протокольные журналы и правила сигнатурного обнаружения. В режиме IDS он обычно получает копию трафика, а для IPS должен быть включён в путь передачи через подходящий механизм захвата и блокировки. Реальная производительность зависит от аппаратных ресурсов, типов трафика, набора правил и параметров журналирования. Движок используют на сетевых сенсорах, шлюзах, в виртуальных средах и как источник событий для SIEM. При выборе конфигурации оценивают целевую скорость интерфейсов, объём хранения событий и процесс обновления правил. Без внешнего расшифрования Suricata видит метаданные TLS-соединений, но не содержимое зашифрованного прикладного трафика. Suricata является конкретной реализацией IDS/IPS, а не общим названием класса систем. Она отличается от SIEM тем, что непосредственно анализирует сетевой трафик; от классического межсетевого экрана — ориентацией на обнаружение угроз по сигнатурам и анализу протоколов, хотя в NGFW эти функции могут совмещаться.