###### tags: `IDS/IPS Systems, Firewall`

# IDS/IPS Systems

## Настройка Suricata
Настройка Suricata будет поизводиться на Firewall pfSense, в зоне DMZ как отдельный сервис.
Установить пакет Suricata "System -> Package Manager -> Available Packege", найти пакет suricata, нажать установить.

После установки будут доступны настройки "Services -> Suricata"

Добавить настройки интерфейса на котором будет работать Suricata:
`Interface` - Интерфейс на котором работает Suricata
`Description` - Описание

Настройка логирования:
`Send Alerts to System Log` - Отправлять логи в журнал системных событий
`Log Facility` - Журнал логов
`Log Priority` - Приоритет логов

Так же можно указать формироание и отправку логов в формате JSON:

## Настройка Snort

Настройка Snort будет поизводиться на Firewall pfSense, в локальной зоне, как отдельный сервис.
Установить пакет Suricata “System -> Package Manager -> Available Packege”, найти пакет suricata, нажать установить.

Настройка основных параметров:
`Enable Snort VRT` - Включение обнавления правил Snort
`Snort Oinkmaster Code` - Ключь для обнавления правил (oinkcode получается после регистрации на сайте snort.org в настройках аккаунты, в разделе Onikcode)
`Enable Snort GPLv2` - Включение обнавления правил от сообщества пользователей Snort
`Enable ET Open` - Включение свободно распространяемых праил Snort

`Update interval` - Интервал обнавления
`Update Start Time` - Время начала запуска обновлений

Сохранить параметры, перейти в раздел `Snort Interfaces` добавить настройки на интерфейс

Основные настройки Snort на интерфейсе:

`Enable` - Включение сервиса Snort на интерфейсе
`Interface` - интерфейс на котором работает Snort
`Description` - Описание
`Send Alerts to System Log` - Отправлять логи в системный журнал
`System Log Facility` - в какой раздел системных логов отправлять события
`System Log Priority` - приоритет отправки
Сохранить настройки

Обновление сигнатур:
"Service -> Snort -> Updates"


Во время обнавления желательно не переключатся на другие окна и не трогать мышку, иначе есть риск прервать обнавление.


После обнавления нужновыбрать категории сигнатур:
"Service -> Snort -> Edit snort interfaces -> Categories"


Перенаправление системных логов на сервер обработки ELK

"Status -> System Log - > Settings"


Сохранить настройки