おまけ

実際の運用を考えると、ET Open Rulesetsのすべてを通知するのはちょっと煩わしいかなと思います。

そもそもETの中にも"ET INFO"や"ET GAMES"といったさほど重要でないカテゴリもあるので、環境に応じて不要なカテゴリは除外しても良いのかなと思います。

ということで、ET Open Rulesetsのなかで検知の可能性が高いカテゴリのみにフィルタリングして通知するように、以下のようにちょっとだけ変更を加えました。

config/general.py

FILTER_SIG_CATEGORY: list[str] = [
        "Attack Response", "DNS", "DOS", "Exploit", "FTP", 
        "ICMP", "IMAP", "Malware", "NETBIOS", "Phishing", 
        "POP3", "RPC", "Shellcode", "SMTP", "SNMP", "SQL", 
        "TELNET", "TFTP", "Web Client", "Web Server", "Web Specific Apps", "WORM"
    ] # "ET xxx"のxxx。

main.py

def is_priority_sig(self, sig: str) -> bool:
    for category in PRIORITY_SIG_CATEGORY:
        if category in sig:
            return True
    return False

~ 略 ~

if lower_sig_id <= sig_id and sig_id <= upper_sig_id:
    if is_priority_sig(eve["alert"]["signature"]):  # <-- 追加
        notice_target_eve.append(eve)

FILTER_SIG_CATEGORY内のカテゴリ説明だけ書いておきます。

カテゴリ	説明	カテゴリ	説明
Attack Response	システムへの侵入活動	RPC	RPCに関する攻撃や脆弱性
DNS	DNSに関する攻撃や脆弱性	Shellcode	遠隔からのシェルコード実行
DOS	DoS攻撃の試み	SMTP	SMTPに関する攻撃や脆弱性
Exploit	特定のサービスに分類されない普遍的な攻撃	SNMP	SNMPに関する攻撃や脆弱性
FTP	FTPに関する攻撃や脆弱性	SQL	SQLに関する攻撃や脆弱性
ICMP	ICMPに関する攻撃や脆弱性	TELNET	Telnetに関する攻撃や脆弱性
IMAP	IMAPに関する攻撃や脆弱性	TFTP	TFTPに関する攻撃や脆弱性
Malware	マルウェア攻撃	Web Client	Webブラウザやcurl、wgetなどに関する攻撃や脆弱性
NETBIOS	NetBIOSに関する攻撃や脆弱性	Web Server	Webサーバに関する攻撃や脆弱性
Phishing	フィッシング活動	Web Specific Apps	特定のWebアプリケーションに関する攻撃や脆弱性
POP3	POP3に関する攻撃や脆弱性	WORM	ワーム攻撃

詳細はET Category Descriptions (PDF)を参照してください。

おわりに

いかがでしたか？通知アプリ開発編ということで自前で通知システムを実装してみただけですが...

実際の運用ではバックグラウンドで実行させたり、systemdでサービス起動させたりすると良いと思います。

また、実装上eve.jsonのファイルサイズが大きいと処理に時間がかかるかと思いますので、Suricataのほうで適切なログローテーション設定を行うことを強くおすすめします。

あと、これはそういうものなのかわからないのですが、GmailのSMTPサーバを経由してのメール送信が非常に遅く、アラート発報から約３分後にメール受信するというようなことになってます....私のネット環境の問題なのかSMTPサーバ側の問題なのかわからないのですが、もし改善策がわかる方いらっしゃいましたらTwitter(X)のDMやメールで教えてください！

ちなみに通知アプリのおまけ編も出そうと思っていて、少しずつですが作業を進めています。あまり新規性はないのですが...

ということで終わります。お疲れ様でした。

参考

PythonでGmailを送信する
Proofpoint Emerging Threats Rules
ET Category Descriptions
SSH rule not working
- SSHコネクションの開始を検知するルール作成で参考にしました

ジャンル: アプリ開発のブログ記事