https://xinux.net/index.php?action=history&feed=atom&title=Erk%C3%A4rungen_ystemd-Unit%3A_suricata.service 2026-08-24T10:15:22Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://xinux.net/index.php?title=Erk%C3%A4rungen_ystemd-Unit:_suricata.service&diff=72443&oldid=prev 2026-08-04T12:35:46Z

<p>Die Seite wurde neu angelegt: „=== Systemd-Unit: suricata.service === ;Beschreibung Definiert Suricata als systemd-verwalteten Hintergrunddienst (Inline-IPS via NFQUEUE 0), inklusive Start-…“</p> <p><b>Neue Seite</b></p><div>=== Systemd-Unit: suricata.service ===<br /> <br /> ;Beschreibung<br /> Definiert Suricata als systemd-verwalteten Hintergrunddienst (Inline-IPS via NFQUEUE 0), inklusive Start-Reihenfolge, Reload-/Stop-Verhalten und grundlegender Systemhärtung.<br /> <br /> &lt;syntaxhighlight lang=&quot;ini&quot;&gt;<br /> [Unit]<br /> Description=Suricata IPS daemon<br /> After=network.target network-online.target<br /> Requires=network-online.target<br /> Documentation=man:suricata(8) man:suricatasc(8)<br /> Documentation=https://suricata-ids.org/docs/<br /> <br /> [Service]<br /> Type=forking<br /> PIDFile=/run/suricata.pid<br /> ExecStart=/usr/bin/suricata -D -q 0 -c /etc/suricata/suricata.yaml --pidfile /run/suricata.pid<br /> ExecReload=/usr/bin/suricatasc -c reload-rules ; /bin/kill -HUP $MAINPID<br /> ExecStop=/usr/bin/suricatasc -c shutdown<br /> Restart=on-failure<br /> ProtectSystem=full<br /> ProtectHome=true<br /> <br /> [Install]<br /> WantedBy=multi-user.target<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== [Unit] ====<br /> <br /> * Description – Kurzbeschreibung, erscheint u. a. in systemctl status<br /> * After=network.target network-online.target – Suricata soll erst starten, ''nachdem'' das Netzwerk grundsätzlich verfügbar ist (reine Reihenfolge, kein hartes Erfordernis)<br /> * Requires=network-online.target – im Gegensatz zu After ist dies eine ''harte'' Abhängigkeit: ohne funktionierendes Netzwerk wird der Dienst gar nicht erst gestartet (sinnvoll, da NFQUEUE ohne funktionierende Netzwerk-/Firewall-Konfiguration wirkungslos wäre)<br /> * Documentation – zwei Einträge: Verweis auf die man-Pages sowie die Online-Dokumentation; beide werden bei systemctl status suricata angezeigt<br /> <br /> ==== [Service] ====<br /> <br /> ;Beschreibung<br /> Steuert, wie systemd den Prozess startet, überwacht und beendet.<br /> <br /> * Type=forking – Suricata startet im Vordergrund einen Kindprozess und beendet sich selbst (klassisches Daemon-Verhalten); systemd erwartet daher, dass der ''eigentliche'' laufende Prozess über die PIDFile identifiziert wird<br /> * PIDFile=/run/suricata.pid – Pfad, unter dem Suricata seine PID hinterlegt, damit systemd den korrekten (geforkten) Hauptprozess tracken kann<br /> * ExecStart – Startbefehl:<br /> ** -D → Daemon-Modus (forken)<br /> ** -q 0 → NFQUEUE-Nummer 0 lesen (korrespondiert mit der nftables-Regel queue num 0 aus der vorherigen Frage)<br /> ** -c /etc/suricata/suricata.yaml → Pfad zur Hauptkonfiguration<br /> ** --pidfile /run/suricata.pid → explizite Angabe des PID-Datei-Pfads<br /> * ExecReload – wird bei systemctl reload suricata ausgeführt:<br /> ** suricatasc -c reload-rules → lädt die Regeln über das Unix-Command-Socket neu, ohne den Prozess neu zu starten (Verbindungs-/Sitzungsstatus bleibt erhalten)<br /> ** ; kill -HUP $MAINPID → zusätzlich wird ein HUP-Signal an den Hauptprozess gesendet (zwei Reload-Mechanismen kombiniert)<br /> * ExecStop=/usr/bin/suricatasc -c shutdown – sauberes Herunterfahren über das Command-Socket statt eines einfachen SIGTERM, damit Suricata Puffer/Statistiken ordentlich flushen kann<br /> * Restart=on-failure – automatischer Neustart nur bei einem ''Fehler'' (Absturz, Exit-Code ≠ 0), nicht bei explizitem systemctl stop<br /> * ProtectSystem=full – systemd-Sandboxing: /usr, /boot und /etc werden read-only in den Dienst-Namespace gemountet (Suricata kann sein System nicht verändern)<br /> * ProtectHome=true – /home, /root und /run/user werden dem Dienst komplett unzugänglich gemacht (nicht nötig für einen Netzwerk-IDS-Prozess, daher sinnvoll gehärtet)<br /> <br /> ;Hinweis<br /> ProtectSystem und ProtectHome sind einfache, aber wirksame Bausteine zur Angriffsflächenreduktion – falls im Kurs später vertieft auf systemd-Sandboxing eingegangen wird, ließe sich das hier noch erweitern (z. B. NoNewPrivileges=true, PrivateTmp=true, CapabilityBoundingSet=CAP_NET_ADMIN CAP_NET_RAW für die minimal nötigen Capabilities statt vollem Root).<br /> <br /> ==== [Install] ====<br /> <br /> * WantedBy=multi-user.target – der Dienst wird beim Booten in den Standard-Multi-User-Runlevel (ohne grafische Oberfläche) eingebunden, aktiviert über systemctl enable suricata</div>

Thomas.will