วิธีตั้งค่า Suricata บน Ubuntu เพื่อตรวจจับฟิชชิงแบบเรียลไทม์

Overview

Suricata คือ *IDS/IPS* โอเพ่นซอร์สที่ทำงานบน Ubuntu ได้อย่างมีประสิทธิภาพ การตั้งค่าให้ตรวจจับฟิชชิงแบบเรียลไทม์ช่วยลดความเสี่ยงจากอีเมลหรือเว็บปลอมได้ทันที บทความนี้จะพาคุณผ่านขั้นตอนทั้งหมด ตั้งแต่การติดตั้งจนถึงการปรับจูนเพื่อให้ได้ผลลัพธ์ที่แม่นยำ

Installation

การเตรียมระบบเป็นก้าวแรกสำคัญที่สุด เพื่อให้ Suricata ทำงานได้เต็มประสิทธิภาพ

• อัปเดตแพ็กเกจ `sudo apt update && sudo apt upgrade -y`
• ติดตั้ง Suricata `sudo apt install suricata -y`
• ตรวจสอบเวอร์ชันด้วย `suricata --build-info` เพื่อยืนยันว่าได้รุ่นล่าสุดที่รองรับ Ubuntu ปัจจุบัน

Configuration Basics

หลังจากติดตั้ง เราต้องกำหนดค่าพื้นฐานให้ Suricera รู้จักเครือข่ายและไฟล์กฎ

• แก้ไขไฟล์ `suricata.yaml` ที่ `/etc/suricata/`
• ตั้งค่า interface ที่ต้องการสังเกต เช่น `af-packet:` หรือ `pcap:`
• ปรับค่าตัวแปร `HOME_NET` ให้เป็นช่วง IP ขององค์กรคุณ (`[192.168.0.0/16]`)
• เปิดใช้งานกฎ ET Phishing จาก Emerging Threats:

```yaml rule-files:

• suricata.rules
• et-open-phishing.rules

```

**Tip: อย่าแก้ไขไฟล์ `suricata.rules` ตรง ๆ ให้ใช้ไฟล์กฎแยกส่วนหรือโฟลเดอร์ `rules/` เพื่อให้ง่ายต่อการอัปเดตในภายหลัง

Real‑Time Phishing Detection

เพื่อให้ Suricata ตรวจจับ URL ฟิชชิงแบบเรียลไทม์ จำเป็นต้องเพิ่มกฎที่ตรวจสอบ HTTP Headers และ Payload

• สร้างกฎกำหนดเอง (`phishing.rules`) ตัวอย่าง:

```text alert http $HOME_NET any -> $EXTERNAL_NET any (msg:"Phishing URL - suspicious domain"; content:"login"; http_uri; pcre:"/\/[a-z0-9]{8,12}\/?$/i"; classtype:phishing; sid:1000010; rev:1;) ```

• คำอธิบายกฎ: ตรวจจับ URL ที่มีคำว่า *login* ตามด้วยสตริงสุ่มยาว 8‑12 ตัวอักษร ซึ่งมักใช้ในลิงก์ฟิชชิง

• โหลดกฎใหม่ โดยเรียก `sudo suricata -c /etc/suricata/suricata.yaml --af-packet=eth0` หรือรีสตาร์ทบริการ `systemctl restart suricata`

Logging & Alerting

Suricata บันทึกเหตุการณ์ในไฟล์ EVE JSON ที่ง่ายต่อการวิเคราะห์และส่งต่อไปยัง SIEM

• ตั้งค่า output ใน `suricata.yaml`

```yaml outputs:

• eve-log:

enabled: yes filetype: regular filename: /var/log/suricata/eve.json types:

• alert
• http

```

• ใช้ jq หรือ Kibana เพื่อกรองข้อมูลฟิชชิงเฉพาะ

Testing Your Setup

ตรวจสอบว่ากฎทำงานจริงหรือไม่ ควรใช้เครื่องมือจำลองการโจมตี

• สั่ง `curl` ไปยัง URL ฟิชชิงที่สร้างขึ้นเอง:

```bash curl -A "Mozilla/5.0" http://malicious.example.com/login/abcd1234 ```

• ตรวจสอบไฟล์ `eve.json` หรือใช้คำสั่ง `suricata -r /var/log/suricata/eve.json | grep phishing`

**Tip: อย่าเปิด URL จริงบนเครื่องผลิตเพื่อหลีกเลี่ยงการเสี่ยงต่อความปลอดภัย ควรใช้ sandbox หรือ VM เท่านั้น

Performance Tuning

Suricata มีตัวเลือกหลายอย่างที่ช่วยให้ตรวจจับฟิชชิงโดยไม่ทำให้เครือข่ายช้าลง

• ปรับ thread affinity ให้สอดคล้องกับ CPU core จำนวนจริงของเครื่อง (`af-packet:`  `threads: 4`)
• ใช้ auto-flow‑reassembly เพื่อลด overhead ของการรวมแพ็กเก็ต (`stream.reassembly:`  `memcap: 256mb`)
• เปิดใช้งาน IPS mode หากต้องการบล็อกฟิชชิงอัตโนมัติ (ต้องทำให้ NIC รองรับ `inline`)

Summary

• ติดตั้ง Suricata ผ่าน APT แล้วตรวจสอบเวอร์ชัน
• กำหนดค่า interface, HOME_NET และเปิดกฎ ET Phishing ใน `suricata.yaml`
• สร้างกฎเฉพาะฟิชชิง (เช่น URL ที่มีลักษณะสุ่ม) แล้วโหลดใหม่
• ใช้ EVE JSON เพื่อล็อกและวิเคราะห์เหตุการณ์ในแบบเรียลไทม์
• ทดสอบด้วย `curl` หรือเครื่องมือจำลองเพื่อยืนยันการทำงานของกฎ
• ปรับจูน thread, memory และเปิด IPS mode เพื่อเพิ่มประสิทธิภาพและความปลอดภัย

**สิ่งที่ควรจำ: การอัปเดตกฎเป็นประจำ, ตรวจสอบ log อย่างต่อเนื่อง, และปรับแต่งตามสภาพแวดล้อมจริง จะทำให้ Suricata จับฟิชชิงได้แม่นยำและไม่มีผลกระทบต่อความเร็วของเครือข่าย.