suricata（七）——suricata日志输出到socket

suricata日志输出到socket

1、修改配置文件

修改filetype为unix_stream，并将filename修改为sock文件，socket文件默认还是保存在default-log-dir目录下

• unix_stream：TCP版
• unix_dgram：UDP版

 

2、创建socket server

• 这是一个Demo，可以优化

import socket
import os

server_address = '/var/log/suricata/fast.sock'
if os.path.exists(server_address):
    os.remove(server_address)
    
socket_family = socket.AF_UNIX
socket_type = socket.SOCK_STREAM

server = socket.socket(socket_family, socket_type)
server.bind(server_address)
server.listen(1)
print(f"listening on '{server_address}'.")

# 链接循环
while True:
    connection, client_address = server.accept()
    # 通信循环，必须要通信循环，因为suricata到server只有一个连接，一段退出当前链接，就无法在接收到suricata发出的日志消息
    while True:
        # TODO: 这里可以加入逻辑，一旦suricata断开连接就break，退出通信循环，等待一个新的连接
        data = connection.recv(1024)
        # TODO: 接受到流量日志可以写入mysql、kafka等，用于后期处理
        print(repr(f"{data.decode()}"))

 

3、测试

1）规则文件

 

2）启动suricata

这里以IPS为例子

iptables -I INPUT  -j NFQUEUE
iptables -I OUTPUT  -j NFQUEUE

suricata -c /etc/suricata/suricata.yaml -q 0 -v

 

3）生成流量