Como usar este guia
O conteúdo foi revisado em setembro de 2026 com foco operacional. Procedimentos sensíveis devem ser testados primeiro em laboratório, com backup, acesso de recuperação e rollback documentado. Exemplos usam placeholders e não devem receber credenciais reais.
Não exponha interfaces administrativas, chaves, dumps, amostras de malware ou logs sensíveis no portal público. Em produção, aplique segmentação, privilégio mínimo e retenção definida.
Arquitetura
Suricata é multi-thread e combina IDS/IPS com network security monitoring. Planeje captura, workers, filas, regras e output como um pipeline.
EVE JSON
EVE fornece eventos estruturados para alert, flow, DNS, HTTP, TLS e outros protocolos. Defina apenas tipos necessários para evitar I/O excessivo.
Regras
Use suricata-update, controle fontes e mantenha regras locais separadas. Valide configuração antes de restart.
Inline
AF_PACKET IPS ou NFQUEUE exigem desenho de bridge/forwarding e política de falha. Teste bypass e recuperação.
Tuning
HOME_NET, portas, flow timeouts e rulesets precisam refletir a rede. Desabilitar assinaturas por ruído sem análise pode abrir lacunas.
SIEM
Correlacione EVE com firewall, DNS, autenticação e inventário. Preserve event/flow IDs e timestamps.
Checklist antes de considerar concluído
- Versão e documentação do componente foram confirmadas.
- Fluxos de rede e privilégios necessários estão explicitamente definidos.
- Configuração foi validada antes de reload/restart quando houver comando de teste.
- Logs e métricas confirmam o comportamento esperado.
- Falha controlada e recuperação foram testadas em ambiente seguro.
- Backup, rollback e acesso de emergência são verificáveis.