Thomas.will: Die Seite wurde neu angelegt: „= Grundsätzliches = * Divert ist der neuere Inline-Betrieb von Suricata unter OPNsense * Die Firewall reicht das Paket ueber einen Divert-Socket an Suricata…“

2026-08-30T15:05:07Z

Die Seite wurde neu angelegt: „= Grundsätzliches = * Divert ist der neuere Inline-Betrieb von Suricata unter OPNsense * Die Firewall reicht das Paket ueber einen Divert-Socket an Suricata…“

Neue Seite

= Grundsätzliches =

* Divert ist der neuere Inline-Betrieb von Suricata unter OPNsense
* Die Firewall reicht das Paket ueber einen Divert-Socket an Suricata weiter, Suricata entscheidet und gibt es zurueck oder verwirft es
* Das Paket wartet waehrend der Pruefung, es ist keine Kopie wie im PCAP-Betrieb

;Unterschied zu Netmap

{| class="wikitable"
! Betriebsart !! Was inspiziert wird
|-
| Netmap (IPS) || Suricata haengt am Interface und sieht dessen gesamten Verkehr
|-
| Divert (IPS) || Suricata sieht nur den Verkehr, den eine Firewall-Regel an den Divert-Socket schickt
|}

;Damit sind zwei Schritte noetig

* Suricata auf Divert umstellen
* Eine Firewall-Regel anlegen, die den zu pruefenden Verkehr dorthin schickt

= Suricata umstellen =

== Services: Intrusion Detection: Administration: Settings ==

;Die Seite zeigt alle Felder erst bei eingeschaltetem "advanced mode"

{| class="wikitable"
! Bereich !! Parameter !! Wert !! Bedeutung
|-
| General Settings || Enabled || (x) || Startet den Suricata-Dienst
|-
| General Settings || Capture mode || Divert (IPS) || Suricata haengt am Divert-Socket statt am Interface
|-
| General Settings || Promiscuous mode || ( ) || Nimmt auch Pakete an, die nicht an die Firewall adressiert sind. Auf einem Router nicht noetig
|-
| General Settings || Interfaces || DMZ || Interface fuer die Zuordnung der Alarme
|-
| Detection || Pattern matcher || Default || Algorithmus fuer den Mustervergleich, Default ueberlaesst Suricata die Wahl
|-
| Logging || Enable syslog alerts || (x) || Schreibt Alarme zusaetzlich ins Syslog
|-
| Logging || Enable eve syslog output || (x) || Schreibt das EVE-JSON-Log ins Syslog, Voraussetzung fuer die Weiterleitung an ein SIEM
|-
| Logging || Rotate log || Weekly || Rotationsintervall der Logdateien
|-
| Logging || Save logs || 4 || Anzahl der aufbewahrten Rotationen
|}

= Firewall-Regel anlegen =

== Firewall: Rules ==

;Ohne diese Regel bekommt Suricata im Divert-Betrieb kein einziges Paket zu sehen

{| class="wikitable"
! Bereich !! Parameter !! Wert !! Bedeutung
|-
| Organisation || Description || Webverkehr zur Inspektion an Suricata || Beschreibung der Regel
|-
| Filter || Interface || DMZ || Nur ein Interface auswaehlen, mehrere machen daraus eine Floating-Regel
|-
| Filter || Action || Pass || Erlaubt den Verkehr
|-
| Filter || Direction || in || Eingehend auf dem gewaehlten Interface
|-
| Filter || Version || IPv4 || Adressfamilie
|-
| Filter || Protocol || TCP || Protokoll
|-
| Filter || Source || DMZ network || Absender
|-
| Filter || Destination || * || Empfaenger
|-
| Filter || Destination Port || 80 || Nur der Webverkehr wird geprueft
|-
| Divert-to || Divert || (x) || Schickt die passenden Pakete an den Divert-Socket
|}

= Uebung =

;Zwei Wege, ein Ziel, unterschiedliches Ergebnis

* Regel wie oben anlegen und einen Angriff auf Port 80 fahren, der Treffer erscheint unter Alerts
* Denselben Angriff auf einen Port fahren, den keine Divert-Regel abdeckt, es gibt keinen Treffer
* Damit ist gezeigt, dass im Divert-Betrieb die Firewall-Regel bestimmt was geprueft wird

= Achtung =

* Wird der Suricata-Dienst gestoppt, verwirft die Regel alles was auf sie passt
* Das Verhalten heisst fail-closed und ist gewollt
* Im Kurs vorher ansagen, sonst suchen alle einen Netzwerkfehler

OPNsense Suricaza Divert (IPS) - Versionsgeschichte

Thomas.will: Die Seite wurde neu angelegt: „= Grundsätzliches = * Divert ist der neuere Inline-Betrieb von Suricata unter OPNsense * Die Firewall reicht das Paket ueber einen Divert-Socket an Suricata…“