目录
2、解压并将安装包移动到/etc/suricata/rules/文件夹下
第三步、修改 /etc/suricata/suricata.yaml 文件中的 Suricata 设置，并设置以下变量：
第六步、在 Wazuh 代理的 /var/ossec/etc/ossec.conf 文件中添加Suricata 日志文件：
缺点：规则太多，误报率较高
解决：降噪——禁用无用规则
Suricata环境安装
第一步、在 Ubuntu 端点安装 Suricata
1、加入Suricata源
2、更新安装包
3、下载SuricataSuricata
第二步、下载并提取新兴威胁 Suricata 规则集
1、在tmp文件夹下载 Suricata 规则集
如果发现未安装curl，使用apt安装即可：
2、解压并将安装包移动到/etc/suricata/rules/文件夹下
3、给suricata 640的权限
第三步、修改 /etc/suricata/suricata.yaml 文件中的 Suricata 设置，并设置以下变量：
HOME_NET: "<UBUNTU_IP>" //这里填写suricata服务器的网关
EXTERNAL_NET: "any" //不要这个默认的，先改成any，默认的这个代表陈了本机网关之外的
default-rule-path: /etc/suricata/rules
rule-files:
- "*.rules"
# Global stats configuration
stats:
enabled: no
# Linux high speed capture support
af-packet:
- interface: enp0s3interface 表示要监控的网络接口。用 Ubuntu 端点的接口名称替换该值。例如，enp0s3。
第四步、重新启动 Suricata 服务
第五步、在wazuh部署新代理
1、选择操作系统
2、选择版本
3、选择架构
4、wazuh服务器地址
这是代理用于与 Wazuh 服务器通信的地址。它可以是 IP 地址或完全限定域名 (FQDN)。
5、可选设置
默认情况下，部署将端点主机名设置为代理名称。或者，您可以在下面设置代理名称。
指定代理名称
6、安装并注册代理
您可以使用此命令安装和注册 Wazuh 代理。
如果安装程序在系统中发现另一个 Wazuh 代理，它将对其进行升级并保留配置。
查看是否添加成功：
添加成功
7、启动代理
第六步、在 Wazuh 代理的 /var/ossec/etc/ossec.conf 文件中添加Suricata 日志文件：
<ossec_config>
<localfile>
<log_format>json</log_format>
<location>/var/log/suricata/eve.json</location>
</localfile>
</ossec_config>
第七步、重启 Wazuh 代理以应用更改
攻击模拟
Wazuh 自动解析Wazuh 仪表板上的数据并生成相关警报。/var/log/suricata/eve.json
从 Wazuh 服务器 Ping Ubuntu 端点 IP 地址：
打开Wazuh 仪表板中可视化警报数据
监控成功！！
也可以这样来监控预警：
1、创建suricata.rules
在rules文件夹下创建/etc/suricata/rules/suricata.rules，如果没有这个启动suricata的时候会报错
2、启动suricata
如果出现以下报错：表示版本太老无法使用
解决：
重启 suricata
再次启动 suricata即可
3、查看预警日志
4、访问一个404网址，触发监控规则
使用python搭建一个虚拟访问网址
可见此时日志已经生成（看日志生成时间）
