jasonish/suricata

Suricata Docker镜像文档

概述

Suricata是一款由开放信息安全基金会(OISF)开发的开源入侵检测系统(IDS)和入侵防御系统(IPS)，通过实时分析网络流量检测***活动和安全威胁。本Docker镜像将Suricata容器化，简化部署流程，确保环境一致性，适用于各类网络安全监控场景，可快速集成到容器化基础设施中。

核心功能和特性

• 多线程检测引擎：高效处理高带宽网络流量，支持并行检测
• 全面协议支持：覆盖TCP、UDP、ICMP、HTTP、FTP、SMTP等主流网络协议
• 灵活规则系统：基于Suricata规则语言，支持自定义检测规则，兼容Emerging Threats等第三方规则集
• 丰富日志输出：提供EVE JSON、告警日志、HTTP日志等多种格式，便于与SIEM系统集成
• 容器化优势：轻量级部署，与主机环境隔离，支持快速启停和版本管理

使用场景和适用范围

• 小型网络安全监控：为家庭或小型企业网络提供基础威胁检测能力
• 云环境流量分析：部署在Kubernetes等容器编排平台，监控Pod间或外部网络流量
• 安全研究与测试：在隔离环境中测试新规则或分析***流量样本
• SIEM集成节点：作为日志源，将检测结果发送至Splunk、ELK等SIEM系统进行集中分析

使用方法和配置说明

基本部署（Docker Run）

Suricata需访问网络接口捕获流量，建议使用主机网络模式（根据环境调整）：

bash
docker run -d \
  --name suricata \
  --net=host \
  -v /path/to/local/rules:/etc/suricata/rules \
  -v /path/to/local/logs:/var/log/suricata \
  jasonish/docker-suricata:latest

关键参数说明

• -d：后台运行容器
• --name suricata：指定容器名称
• --net=host：使用主机网络栈（便于直接访问网络接口捕获流量）
• -v /path/to/local/rules:/etc/suricata/rules：挂载本地规则目录，用于自定义检测规则
• -v /path/to/local/logs:/var/log/suricata：挂载日志目录，持久化存储检测日志

Docker Compose配置示例

创建docker-compose.yml文件：

yaml
version: '3'
services:
  suricata:
    image: jasonish/docker-suricata:latest
    network_mode: host
    volumes:
      - ./suricata-rules:/etc/suricata/rules
      - ./suricata-logs:/var/log/suricata
      - ./suricata.yaml:/etc/suricata/suricata.yaml  # 自定义配置文件（可选）
    restart: unless-stopped

启动服务：

bash
docker-compose up -d

规则管理

1. 获取规则集：可从第三方源下载规则（如Emerging Threats）：

   bash
   mkdir -p ./suricata-rules && wget https://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz -O - | tar zxvf - -C ./suricata-rules
   

2. 自定义规则：在挂载的suricata-rules目录中创建.rules文件，添加自定义检测规则，Suricata将自动加载（部分版本需重启容器）。

日志查看与分析

核心日志文件位于挂载的suricata-logs目录：

• eve.json：JSON格式详细事件日志（包含告警、流量记录等，推荐用于SIEM集成）
• alert.log：文本格式告警日志

实时查看示例：

bash
tail -f ./suricata-logs/eve.json | jq .  # 使用jq工具格式化JSON输出

注意事项

• 网络权限：使用--net=host时容器直接使用主机网络，需确保主机防火墙允许必要流量通过
• 性能优化：根据网络带宽调整suricata.yaml中的线程配置（如threading部分）以匹配硬件能力
• 规则更新：定期更新检测规则以应对新型威胁，可通过脚本自动化规则下载和容器重启
• 安全隔离：生产环境建议限制容器权限，避免挂载敏感主机目录

更多详细配置和高级用法，请参考项目GitHub页面：https://github.com/jasonish/docker-suricata