调优与部署

传感器只能看到到达自身的流量。IDS/IPS 传感器的位置决定了您能够检测什么，因此传感器部署位置是部署时首先要做的决定。

请围绕网络的流量瓶颈和信任边界规划部署位置：互联网边界、安全区域之间、核心资产前方，以及外泄流量离开的出口点。

需要监控两条流量轴：

• 南北向 — 穿过边界的流量（进出互联网）。传统的边界传感器可以覆盖这类流量。
• 东西向 — 内部主机之间的流量。横向移动就发生在这里，而这类流量往往没有受到监控。

攻击者进入内部后会进行东西向移动。仅部署边界传感器无法发现他们，因此内部网络分接点和网段传感器对于现代检测不可或缺。

选择如何捕获流量会影响保真度：

• SPAN/镜像端口免费，但会共享交换机资源，并且会在高负载下丢弃数据包，恰恰是在您最需要这些数据包的时候。
• 硬件 TAP可以无损复制流量，即使设备发生故障也能继续工作，但需要支付成本并占用端口。

对于高吞吐量或合规性要求关键的链路，优先选择 TAP。聚合 TAP 和网络数据包代理可以从一个捕获点为多个工具提供流量。

过载的传感器会悄无声息地丢弃数据包，造成看似流量干净、实则存在检测盲区的情况。请根据链路为传感器规划容量。

请关注引擎统计信息中的 capture.kernel_drops 和数据包丢失情况。如果丢包数量上升，您需要增加 CPU、调整 RAFL/AF_PACKET、调整 NIC 卸载设置，或更换更快的传感器。请验证传感器能够处理峰值吞吐量，而不仅是平均吞吐量。

启用所有可用规则只会带来噪声和性能损失。请精心筛选规则集。

• 启用与您的环境和资产相关的规则类别
• 禁用针对您未使用软件的规则
• 使用 suricata-update 等管理器拉取、合并规则源并为其建立版本
• 跟踪规则源（ET Open、ET Pro、自定义规则），并按计划更新

与其编辑上游规则，不如使用阈值/抑制配置来控制噪声。对于已知可信的源，抑制噪声较大的 sid；对于其他规则设置阈值，以限制告警速率。

这样既能保持第三方规则可更新，又能消除网络中特有的误报。

切勿将新规则或不熟悉的规则直接部署到 drop。请先在告警（IDS）模式下运行，观察它在数天或数周内捕获的内容，并确认误报率处于可接受范围。

只有在规则证明值得信任后，才应将其提升为内联阻断规则。这种分阶段的方法可以防止单条错误规则导致服务中断。

正确地定义 $HOME_NET 和其他变量是基础工作。许多规则会根据流量方向触发（外部到内部网络与内部网络到外部），因此错误的 $HOME_NET 会悄无声息地破坏检测逻辑。

请准确地定义内部网段、服务器组和可信网络。随着网络变化及时更新这些定义，并在检测行为异常时进行检查。

只有当传感器的输出能够到达分析人员手中时，传感器才有价值。请将告警和元数据发送到 SIEM，以便进行关联分析、丰富信息和留存。

Suricata 的 EVE JSON 会生成结构化事件（告警、流、HTTP、DNS、TLS、文件哈希），可以顺畅地导入 SIEM。请将 IDS 与全数据包捕获结合使用，以便分析人员在调查期间检索告警背后的实际流量。

内联 IPS 位于关键路径上，因此它发生故障就意味着网络发生故障。请为弹性而设计。

• 硬件旁路/故障开放型 NIC 可在引擎停止运行时保持流量通过（适用于可用性优先于安全性的场景）
• 采用主备模式或集群配对的冗余传感器
• 带外IDS 传感器同样需要冗余，否则会形成悄无声息的盲区

请根据业务风险决定每条链路采用故障开放还是故障关闭，并在依赖故障转移之前对其进行测试。

已部署的传感器可能会悄无声息地退化：配置更改、SPAN 重路由或负载激增都可能使其失去检测能力。请验证它仍在正常工作。

• 定期运行已知规则应能捕获的安全测试流量
• 在预期检测不再出现时发出告警
• 像监控告警一样仔细地监控传感器健康状况（丢包、CPU、运行时间）
• 使用对手模拟来端到端确认覆盖范围

从未测试过的检测能力，是无法信任的检测能力。

有效的 IDS/IPS 部署依靠可见性和严谨性：

• 部署位置决定您能够看到什么；请覆盖边界和内部网段
• 不仅监控南北向流量，还要监控东西向流量，以捕获横向移动
• 对于无损、高吞吐量捕获，优先选择 TAP 而不是 SPAN
• 合理规划传感器容量，使数据包丢失接近于零
• 使用 suricata-update精心筛选规则集；通过配置抑制噪声并设置阈值
• 先在告警模式下调优，然后提升为阻断模式
• 正确地定义 HOME_NET
• 将 EVE JSON发送到 SIEM，并保留数据包捕获结果以供调查
• 持续验证检测能力和传感器健康状况

您已完成网络安全监控课程。