T-Pot Suricata Docker镜像文档

1. 镜像概述和主要用途

T-Pot Suricata Docker镜像是T-Pot - The All In One Multi Honeypot Platform的核心组件之一。该镜像集成了开源网络入侵检测/防御系统（NIDS/NIPS）Suricata，旨在通过实时网络流量分析、威胁检测和日志记录，为蜜罐环境提供网络层威胁监测能力。

2. 核心功能和特性

2.1 核心功能

• 实时流量分析：对进出蜜罐网络的流量进行实时捕获和深度解析
• 多协议识别：支持TCP、UDP、ICMP等主流网络协议的解析与识别
• 签名匹配检测：基于规则库（如ET Open Ruleset）检测已知攻击模式
• 异常行为识别：通过协议异常、流量特征异常等检测可疑活动
• 日志记录与输出：生成标准化日志（JSON/ELK格式），支持威胁事件详情记录

2.2 关键特性

• T-Pot生态集成：与T-Pot平台的日志聚合系统（如Elasticsearch）无缝对接
• 规则自动更新：支持定期从威胁情报源同步最新检测规则
• 轻量级部署：优化容器资源占用，适配蜜罐环境资源限制
• 可定制规则：允许用户导入自定义检测规则以满足特定场景需求

3. 使用场景和适用范围

3.1 典型使用场景

• 蜜罐网络威胁监测：作为T-Pot多蜜罐体系的网络层防护组件，监测针对蜜罐的攻击行为
• 安全研究与分析：收集恶意流量样本和攻击特征，支持威胁情报生成
• 网络安全演练：在模拟攻击场景中验证防御策略有效性
• 教育与培训：展示网络攻击检测原理，提供实践教学环境

3.2 适用用户

• 网络安全研究员
• 企业安全运营团队（SOC）
• 学术机构安全实验室
• 网络安全培训人员

4. 使用方法和配置说明

4.1 前提条件

• Docker Engine 20.10+
• Docker Compose 2.0+（如需编排部署）
• 主机需配置混杂模式（ip link set dev <interface> promisc on）以支持流量捕获
• 宿主机网络需允许镜像访问T-Pot平台的日志接收服务（默认端口5044）

4.2 Docker 快速启动命令

docker run -d \
  --name tpot-suricata \
  --net=host \  # 需使用主机网络以确保流量捕获覆盖范围
  --cap-add=NET_ADMIN \  # 授予网络管理权限（流量捕获所需）
  -v /path/to/local/rules:/etc/suricata/rules/custom \  # 挂载自定义规则目录
  -v /path/to/logs:/var/log/suricata \  # 持久化日志目录
  -e INTERFACE=eth0 \  # 指定监听网络接口
  -e RULESET_UPDATE=enable \  # 启用规则自动更新
  -e LOG_FORMAT=json \  # 日志输出格式（json/stanza）
  tpot/tpot-suricata:latest

4.3 Docker Compose 配置示例

version: '3.8'

services:
  suricata:
    image: tpot/tpot-suricata:latest
    container_name: tpot-suricata
    network_mode: host
    cap_add:
      - NET_ADMIN
    volumes:
      - ./suricata/rules:/etc/suricata/rules/custom  # 自定义规则挂载
      - ./suricata/logs:/var/log/suricata  # 日志持久化
      - ./suricata/config:/etc/suricata  # 自定义配置文件覆盖（可选）
    environment:
      - INTERFACE=eth0  # 监听接口（需与宿主机一致）
      - RULESET_UPDATE=enable  # 启用规则更新（disable则关闭）
      - LOG_DESTINATION=elasticsearch  # 日志目标（elasticsearch/stdout/file）
      - RULESET_URL=[***]  # 规则源URL
    restart: unless-stopped

4.4 环境变量配置说明

4.5 配置文件自定义

如需高级配置，可通过挂载本地配置文件覆盖容器内默认配置：

1. 从容器中提取默认配置模板：

   docker cp tpot-suricata:/etc/suricata/suricata.yaml ./suricata/config/
   

2. 修改本地suricata.yaml（如调整检测线程数、自定义输出格式等）
3. 通过Docker Compose挂载自定义配置目录（参考4.3中的./suricata/config:/etc/suricata挂载项）

4.6 日志与数据持久化

• 日志路径：容器内日志默认路径为/var/log/suricata，包含：
  • eve.json：主要事件日志（JSON格式，包含检测到的威胁事件）
  • fast.log：快速模式日志（单行文本格式，简洁事件记录）
  • stats.log：性能统计日志（流量、检测计数等指标）
• 持久化建议：通过-v ./suricata/logs:/var/log/suricata挂载宿主机目录，避免容器重启导致日志丢失

5. 规则管理

5.1 自定义规则导入

1. 在宿主机创建规则目录（如./suricata/rules/custom/）
2. 将自定义规则文件（.rules扩展名）放入该目录
3. 通过Docker Compose挂载规则目录：

   volumes:
     - ./suricata/rules/custom:/etc/suricata/rules/custom
   

4. 在suricata.yaml中添加规则引用：

   rule-files:
     - custom/*.rules  # 引用自定义规则目录
   

5.2 规则更新手动触发

如需立即更新规则而非等待自动更新：

docker exec -it tpot-suricata /usr/bin/suricata-update

6. 常见问题解决

6.1 流量捕获异常

• 症状：日志中无流量记录或检测事件
• 排查步骤：
  1. 确认宿主机接口已启用混杂模式：ip link show dev <interface> | grep PROMISC
  2. 检查容器是否使用--net=host模式（非host网络可能导致流量不可见）
  3. 验证接口名称是否正确（通过ip addr确认宿主机接口名）

6.2 规则不生效

• 症状：已知攻击流量未被检测
• 排查步骤：
  1. 检查规则更新状态：docker exec -it tpot-suricata cat /var/log/suricata/update.log
  2. 验证规则文件是否被正确加载：docker exec -it tpot-suricata suricata -T -c /etc/suricata/suricata.yaml -v（测试配置和规则加载）
  3. 确认规则路径在suricata.yaml的rule-files中已配置

7. 参考链接

• T-Pot 官方文档
• Suricata 官方手册
• Emerging Threats 规则库