<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=us-ascii">
<meta name="Generator" content="Microsoft Word 15 (filtered medium)">
<style><!--
/* Font Definitions */
@font-face
{font-family:Wingdings;
panose-1:5 0 0 0 0 0 0 0 0 0;}
@font-face
{font-family:"Cambria Math";
panose-1:2 4 5 3 5 4 6 3 2 4;}
@font-face
{font-family:Calibri;
panose-1:2 15 5 2 2 2 4 3 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
{margin:0in;
margin-bottom:.0001pt;
font-size:11.0pt;
font-family:"Calibri",sans-serif;}
a:link, span.MsoHyperlink
{mso-style-priority:99;
color:#0563C1;
text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
{mso-style-priority:99;
color:#954F72;
text-decoration:underline;}
span.EmailStyle17
{mso-style-type:personal-compose;
font-family:"Calibri",sans-serif;
color:windowtext;}
.MsoChpDefault
{mso-style-type:export-only;
font-family:"Calibri",sans-serif;}
@page WordSection1
{size:8.5in 11.0in;
margin:1.0in 1.0in 1.0in 1.0in;}
div.WordSection1
{page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]-->
</head>
<body lang="EN-US" link="#0563C1" vlink="#954F72">
<div class="WordSection1">
<p class="MsoNormal">HI Everyone,<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">I truly hope someone can assist since I’ve hardly met a problem I can’t solve but I’ve spent a lot of time on this one.<o:p></o:p></p>
<p class="MsoNormal">Ubuntu 12.04 LTS <o:p></o:p></p>
<p class="MsoNormal">Suricata is working since I tried to enable fast.log and eve.json so I know the events are coming in from eth1 / span port.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">The most that makes it to the SIEM is “open log source message” from the suricata host – but no actual events.<o:p></o:p></p>
<p class="MsoNormal">Below are the relevant configuration files. Suricata.yaml /etc/rsyslog.conf<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">Not sure I understand clearly how to use syslog to get the events over to the SIEM?<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">Charles<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">Snipped from bottom of rsyslog.conf<span style="font-family:Wingdings">à</span> (tried using user.alert)<o:p></o:p></p>
<p class="MsoNormal">$IncludeConfig /etc/rsyslog.d/*.conf<o:p></o:p></p>
<p class="MsoNormal">*.* @172.18.1.155:514<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">#user.alert @172.18.1.155:514;rsyslogd<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">#user.alert @172.18.1.155:514<o:p></o:p></p>
<p class="MsoNormal">root@bco10214:/admin#<o:p></o:p></p>
<div style="mso-element:para-border-div;border:none;border-bottom:solid windowtext 1.0pt;padding:0in 0in 1.0pt 0in">
<p class="MsoNormal" style="border:none;padding:0in"><o:p> </o:p></p>
</div>
<div style="mso-element:para-border-div;border:none;border-bottom:double windowtext 2.25pt;padding:0in 0in 1.0pt 0in">
<p class="MsoNormal" style="border:none;padding:0in">suricata.yaml below<o:p></o:p></p>
</div>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">%YAML 1.1<o:p></o:p></p>
<p class="MsoNormal">---<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Suricata configuration file. In addition to the comments describing all<o:p></o:p></p>
<p class="MsoNormal"># options in this file, full documentation can be found at:<o:p></o:p></p>
<p class="MsoNormal"># https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Number of packets allowed to be processed simultaneously. Default is a<o:p></o:p></p>
<p class="MsoNormal"># conservative 1024. A higher number will make sure CPU's/CPU cores will be<o:p></o:p></p>
<p class="MsoNormal"># more easily kept busy, but may negatively impact caching.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># If you are using the CUDA pattern matcher (mpm-algo: ac-cuda), different rules<o:p></o:p></p>
<p class="MsoNormal"># apply. In that case try something like 60000 or more. This is because the CUDA<o:p></o:p></p>
<p class="MsoNormal"># pattern matcher buffers and scans as many packets as possible in parallel.<o:p></o:p></p>
<p class="MsoNormal">#max-pending-packets: 1024<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Runmode the engine should use. Please check --list-runmodes to get the available<o:p></o:p></p>
<p class="MsoNormal"># runmodes for each packet acquisition method. Defaults to "autofp" (auto flow pinned<o:p></o:p></p>
<p class="MsoNormal"># load balancing).<o:p></o:p></p>
<p class="MsoNormal">#runmode: autofp<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Specifies the kind of flow load balancer used by the flow pinned autofp mode.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># Supported schedulers are:<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># round-robin - Flows assigned to threads in a round robin fashion.<o:p></o:p></p>
<p class="MsoNormal"># active-packets - Flows assigned to threads that have the lowest number of<o:p></o:p></p>
<p class="MsoNormal"># unprocessed packets (default).<o:p></o:p></p>
<p class="MsoNormal"># hash - Flow alloted usihng the address hash. More of a random<o:p></o:p></p>
<p class="MsoNormal"># technique. Was the default in Suricata 1.2.1 and older.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal">#autofp-scheduler: active-packets<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># If suricata box is a router for the sniffed networks, set it to 'router'. If<o:p></o:p></p>
<p class="MsoNormal"># it is a pure sniffing setup, set it to 'sniffer-only'.<o:p></o:p></p>
<p class="MsoNormal"># If set to auto, the variable is internally switch to 'router' in IPS mode<o:p></o:p></p>
<p class="MsoNormal"># and 'sniffer-only' in IDS mode.<o:p></o:p></p>
<p class="MsoNormal"># This feature is currently only used by the reject* keywords.<o:p></o:p></p>
<p class="MsoNormal">host-mode: auto<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Run suricata as user and group.<o:p></o:p></p>
<p class="MsoNormal">#run-as:<o:p></o:p></p>
<p class="MsoNormal"># user: suri<o:p></o:p></p>
<p class="MsoNormal"># group: suri<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Default pid file.<o:p></o:p></p>
<p class="MsoNormal"># Will use this file if no --pidfile in command options.<o:p></o:p></p>
<p class="MsoNormal">#pid-file: /var/run/suricata.pid<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Daemon working directory<o:p></o:p></p>
<p class="MsoNormal"># Suricata will change directory to this one if provided<o:p></o:p></p>
<p class="MsoNormal"># Default: "/"<o:p></o:p></p>
<p class="MsoNormal">#daemon-directory: "/"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Preallocated size for packet. Default is 1514 which is the classical<o:p></o:p></p>
<p class="MsoNormal"># size for pcap on ethernet. You should adjust this value to the highest<o:p></o:p></p>
<p class="MsoNormal"># packet size (MTU + hardware header) on your system.<o:p></o:p></p>
<p class="MsoNormal">#default-packet-size: 1514<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># The default logging directory. Any log or output file will be<o:p></o:p></p>
<p class="MsoNormal"># placed here if its not specified with a full path name. This can be<o:p></o:p></p>
<p class="MsoNormal"># overridden with the -l command line parameter.<o:p></o:p></p>
<p class="MsoNormal">default-log-dir: /var/log/suricata/<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Unix command socket can be used to pass commands to suricata.<o:p></o:p></p>
<p class="MsoNormal"># An external tool can then connect to get information from suricata<o:p></o:p></p>
<p class="MsoNormal"># or trigger some modifications of the engine. Set enabled to yes<o:p></o:p></p>
<p class="MsoNormal"># to activate the feature. You can use the filename variable to set<o:p></o:p></p>
<p class="MsoNormal"># the file name of the socket.<o:p></o:p></p>
<p class="MsoNormal">unix-command:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> #filename: custom.socket<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Configure the type of alert (and other) logging you would like.<o:p></o:p></p>
<p class="MsoNormal">outputs:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # a line based alerts log similar to Snort's fast.log<o:p></o:p></p>
<p class="MsoNormal"> - fast:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no <o:p></o:p></p>
<p class="MsoNormal"> filename: fast.log<o:p></o:p></p>
<p class="MsoNormal"> append: yes<o:p></o:p></p>
<p class="MsoNormal"> #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Extensible Event Format (nicknamed EVE) event log in JSON format<o:p></o:p></p>
<p class="MsoNormal"> - eve-log:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> type: syslog <o:p></o:p></p>
<p class="MsoNormal"> #filename: eve.json<o:p></o:p></p>
<p class="MsoNormal"> # the following are valid when type: syslog above<o:p></o:p></p>
<p class="MsoNormal"> identity: "suricata"<o:p></o:p></p>
<p class="MsoNormal"> facility: local7<o:p></o:p></p>
<p class="MsoNormal"> #level: alert ## possible levels: Emergency, Alert, Critical,<o:p></o:p></p>
<p class="MsoNormal"> ## Error, Warning, Notice, Info, Debug<o:p></o:p></p>
<p class="MsoNormal"> types:<o:p></o:p></p>
<p class="MsoNormal"> - alert<o:p></o:p></p>
<p class="MsoNormal"> - http:<o:p></o:p></p>
<p class="MsoNormal"> extended: yes # enable this for extended logging information<o:p></o:p></p>
<p class="MsoNormal"> # custom allows additional http fields to be included in eve-log<o:p></o:p></p>
<p class="MsoNormal"> # the example below adds three additional fields when uncommented<o:p></o:p></p>
<p class="MsoNormal"> #custom: [Accept-Encoding, Accept-Language, Authorization]<o:p></o:p></p>
<p class="MsoNormal"> - dns<o:p></o:p></p>
<p class="MsoNormal"> - tls:<o:p></o:p></p>
<p class="MsoNormal"> extended: yes # enable this for extended logging information<o:p></o:p></p>
<p class="MsoNormal"> - files:<o:p></o:p></p>
<p class="MsoNormal"> force-magic: no # force logging magic on all logged files<o:p></o:p></p>
<p class="MsoNormal"> force-md5: no # force logging of md5 checksums<o:p></o:p></p>
<p class="MsoNormal"> #- drop<o:p></o:p></p>
<p class="MsoNormal"> - ssh<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # alert output for use with Barnyard2<o:p></o:p></p>
<p class="MsoNormal"> - unified2-alert:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> filename: unified2.alert<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # File size limit. Can be specified in kb, mb, gb. Just a number<o:p></o:p></p>
<p class="MsoNormal"> # is parsed as bytes.<o:p></o:p></p>
<p class="MsoNormal"> #limit: 32mb<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Sensor ID field of unified2 alerts.<o:p></o:p></p>
<p class="MsoNormal"> #sensor-id: 0<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # HTTP X-Forwarded-For support by adding the unified2 extra header that<o:p></o:p></p>
<p class="MsoNormal"> # will contain the actual client IP address or by overwriting the source<o:p></o:p></p>
<p class="MsoNormal"> # IP address (helpful when inspecting traffic that is being reversed<o:p></o:p></p>
<p class="MsoNormal"> # proxied).<o:p></o:p></p>
<p class="MsoNormal"> xff:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> # Two operation modes are available, "extra-data" and "overwrite". Note<o:p></o:p></p>
<p class="MsoNormal"> # that in the "overwrite" mode, if the reported IP address in the HTTP<o:p></o:p></p>
<p class="MsoNormal"> # X-Forwarded-For header is of a different version of the packet<o:p></o:p></p>
<p class="MsoNormal"> # received, it will fall-back to "extra-data" mode.<o:p></o:p></p>
<p class="MsoNormal"> mode: extra-data<o:p></o:p></p>
<p class="MsoNormal"> # Header name were the actual IP address will be reported, if more than<o:p></o:p></p>
<p class="MsoNormal"> # one IP address is present, the last IP address will be the one taken<o:p></o:p></p>
<p class="MsoNormal"> # into consideration.<o:p></o:p></p>
<p class="MsoNormal"> header: X-Forwarded-For <o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # a line based log of HTTP requests (no alerts)<o:p></o:p></p>
<p class="MsoNormal"> - http-log:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> filename: http.log<o:p></o:p></p>
<p class="MsoNormal"> append: yes<o:p></o:p></p>
<p class="MsoNormal"> #extended: yes # enable this for extended logging information<o:p></o:p></p>
<p class="MsoNormal"> #custom: yes # enabled the custom logging format (defined by customformat)<o:p></o:p></p>
<p class="MsoNormal"> #customformat: "%{%D-%H:%M:%S}t.%z %{X-Forwarded-For}i %H %m %h %u %s %B %a:%p -> %A:%P"<o:p></o:p></p>
<p class="MsoNormal"> #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # a line based log of TLS handshake parameters (no alerts)<o:p></o:p></p>
<p class="MsoNormal"> - tls-log:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no # Log TLS connections.<o:p></o:p></p>
<p class="MsoNormal"> filename: tls.log # File to store TLS logs.<o:p></o:p></p>
<p class="MsoNormal"> append: yes<o:p></o:p></p>
<p class="MsoNormal"> #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'<o:p></o:p></p>
<p class="MsoNormal"> #extended: yes # Log extended information like fingerprint<o:p></o:p></p>
<p class="MsoNormal"> certs-log-dir: certs # directory to store the certificates files<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # a line based log of DNS requests and/or replies (no alerts)<o:p></o:p></p>
<p class="MsoNormal"> - dns-log:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> filename: dns.log<o:p></o:p></p>
<p class="MsoNormal"> append: yes<o:p></o:p></p>
<p class="MsoNormal"> #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # a line based log to used with pcap file study.<o:p></o:p></p>
<p class="MsoNormal"> # this module is dedicated to offline pcap parsing (empty output<o:p></o:p></p>
<p class="MsoNormal"> # if used with another kind of input). It can interoperate with<o:p></o:p></p>
<p class="MsoNormal"> # pcap parser like wireshark via the suriwire plugin.<o:p></o:p></p>
<p class="MsoNormal"> - pcap-info:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Packet log... log packets in pcap format. 2 modes of operation: "normal"<o:p></o:p></p>
<p class="MsoNormal"> # and "sguil".<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # In normal mode a pcap file "filename" is created in the default-log-dir,<o:p></o:p></p>
<p class="MsoNormal"> # or are as specified by "dir". In Sguil mode "dir" indicates the base directory.<o:p></o:p></p>
<p class="MsoNormal"> # In this base dir the pcaps are created in th directory structure Sguil expects:<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # $sguil-base-dir/YYYY-MM-DD/$filename.<timestamp><o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # By default all packets are logged except:<o:p></o:p></p>
<p class="MsoNormal"> # - TCP streams beyond stream.reassembly.depth<o:p></o:p></p>
<p class="MsoNormal"> # - encrypted streams after the key exchange<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> - pcap-log:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> filename: log.pcap<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # File size limit. Can be specified in kb, mb, gb. Just a number<o:p></o:p></p>
<p class="MsoNormal"> # is parsed as bytes.<o:p></o:p></p>
<p class="MsoNormal"> limit: 1000mb<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # If set to a value will enable ring buffer mode. Will keep Maximum of "max-files" of size "limit"<o:p></o:p></p>
<p class="MsoNormal"> max-files: 2000<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> mode: normal # normal or sguil.<o:p></o:p></p>
<p class="MsoNormal"> #sguil-base-dir: /nsm_data/<o:p></o:p></p>
<p class="MsoNormal"> #ts-format: usec # sec or usec second format (default) is filename.sec usec is filename.sec.usec<o:p></o:p></p>
<p class="MsoNormal"> use-stream-depth: no #If set to "yes" packets seen after reaching stream inspection depth are ignored. "no" logs all packets<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # a full alerts log containing much information for signature writers<o:p></o:p></p>
<p class="MsoNormal"> # or for investigating suspected false positives.<o:p></o:p></p>
<p class="MsoNormal"> - alert-debug:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> filename: alert-debug.log<o:p></o:p></p>
<p class="MsoNormal"> append: yes<o:p></o:p></p>
<p class="MsoNormal"> #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # alert output to prelude (http://www.prelude-technologies.com/) only<o:p></o:p></p>
<p class="MsoNormal"> # available if Suricata has been compiled with --enable-prelude<o:p></o:p></p>
<p class="MsoNormal"> - alert-prelude:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> profile: suricata<o:p></o:p></p>
<p class="MsoNormal"> log-packet-content: no<o:p></o:p></p>
<p class="MsoNormal"> log-packet-header: yes<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Stats.log contains data from various counters of the suricata engine.<o:p></o:p></p>
<p class="MsoNormal"> # The interval field (in seconds) tells after how long output will be written<o:p></o:p></p>
<p class="MsoNormal"> # on the log file.<o:p></o:p></p>
<p class="MsoNormal"> - stats:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> filename: stats.log<o:p></o:p></p>
<p class="MsoNormal"> interval: 8<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # a line based alerts log similar to fast.log into syslog<o:p></o:p></p>
<p class="MsoNormal"> - syslog:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> # reported identity to syslog. If ommited the program name (usually<o:p></o:p></p>
<p class="MsoNormal"> # suricata) will be used.<o:p></o:p></p>
<p class="MsoNormal"> # identity: "suricata"<o:p></o:p></p>
<p class="MsoNormal"> # facility: local5<o:p></o:p></p>
<p class="MsoNormal"> level: Info ## possible levels: Emergency, Alert, Critical,<o:p></o:p></p>
<p class="MsoNormal"> ## Error, Warning, Notice, Info, Debug<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # a line based information for dropped packets in IPS mode<o:p></o:p></p>
<p class="MsoNormal"> - drop:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> filename: drop.log<o:p></o:p></p>
<p class="MsoNormal"> append: yes<o:p></o:p></p>
<p class="MsoNormal"> #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # output module to store extracted files to disk<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # The files are stored to the log-dir in a format "file.<id>" where <id> is<o:p></o:p></p>
<p class="MsoNormal"> # an incrementing number starting at 1. For each file "file.<id>" a meta<o:p></o:p></p>
<p class="MsoNormal"> # file "file.<id>.meta" is created.<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # File extraction depends on a lot of things to be fully done:<o:p></o:p></p>
<p class="MsoNormal"> # - stream reassembly depth. For optimal results, set this to 0 (unlimited)<o:p></o:p></p>
<p class="MsoNormal"> # - http request / response body sizes. Again set to 0 for optimal results.<o:p></o:p></p>
<p class="MsoNormal"> # - rules that contain the "filestore" keyword.<o:p></o:p></p>
<p class="MsoNormal"> - file-store:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no # set to yes to enable<o:p></o:p></p>
<p class="MsoNormal"> log-dir: files # directory to store the files<o:p></o:p></p>
<p class="MsoNormal"> force-magic: no # force logging magic on all stored files<o:p></o:p></p>
<p class="MsoNormal"> force-md5: no # force logging of md5 checksums<o:p></o:p></p>
<p class="MsoNormal"> #waldo: file.waldo # waldo file to store the file_id across runs<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # output module to log files tracked in a easily parsable json format<o:p></o:p></p>
<p class="MsoNormal"> - file-log:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> filename: files-json.log<o:p></o:p></p>
<p class="MsoNormal"> append: yes<o:p></o:p></p>
<p class="MsoNormal"> #filetype: regular # 'regular', 'unix_stream' or 'unix_dgram'<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> force-magic: no # force logging magic on all logged files<o:p></o:p></p>
<p class="MsoNormal"> force-md5: no # force logging of md5 checksums<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Magic file. The extension .mgc is added to the value here.<o:p></o:p></p>
<p class="MsoNormal">#magic-file: /usr/share/file/magic<o:p></o:p></p>
<p class="MsoNormal">magic-file: /usr/share/file/magic<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># When running in NFQ inline mode, it is possible to use a simulated<o:p></o:p></p>
<p class="MsoNormal"># non-terminal NFQUEUE verdict.<o:p></o:p></p>
<p class="MsoNormal"># This permit to do send all needed packet to suricata via this a rule:<o:p></o:p></p>
<p class="MsoNormal"># iptables -I FORWARD -m mark ! --mark $MARK/$MASK -j NFQUEUE<o:p></o:p></p>
<p class="MsoNormal"># And below, you can have your standard filtering ruleset. To activate<o:p></o:p></p>
<p class="MsoNormal"># this mode, you need to set mode to 'repeat'<o:p></o:p></p>
<p class="MsoNormal"># If you want packet to be sent to another queue after an ACCEPT decision<o:p></o:p></p>
<p class="MsoNormal"># set mode to 'route' and set next-queue value.<o:p></o:p></p>
<p class="MsoNormal"># On linux >= 3.1, you can set batchcount to a value > 1 to improve performance<o:p></o:p></p>
<p class="MsoNormal"># by processing several packets before sending a verdict (worker runmode only).<o:p></o:p></p>
<p class="MsoNormal"># On linux >= 3.6, you can set the fail-open option to yes to have the kernel<o:p></o:p></p>
<p class="MsoNormal"># accept the packet if suricata is not able to keep pace.<o:p></o:p></p>
<p class="MsoNormal">nfq:<o:p></o:p></p>
<p class="MsoNormal"># mode: accept<o:p></o:p></p>
<p class="MsoNormal"># repeat-mark: 1<o:p></o:p></p>
<p class="MsoNormal"># repeat-mask: 1<o:p></o:p></p>
<p class="MsoNormal"># route-queue: 2<o:p></o:p></p>
<p class="MsoNormal"># batchcount: 20<o:p></o:p></p>
<p class="MsoNormal"># fail-open: yes<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">#nflog support<o:p></o:p></p>
<p class="MsoNormal">nflog:<o:p></o:p></p>
<p class="MsoNormal"> # netlink multicast group<o:p></o:p></p>
<p class="MsoNormal"> # (the same as the iptables --nflog-group param)<o:p></o:p></p>
<p class="MsoNormal"> # Group 0 is used by the kernel, so you can't use it<o:p></o:p></p>
<p class="MsoNormal"> - group: 2<o:p></o:p></p>
<p class="MsoNormal"> # netlink buffer size<o:p></o:p></p>
<p class="MsoNormal"> buffer-size: 18432<o:p></o:p></p>
<p class="MsoNormal"> # put default value here<o:p></o:p></p>
<p class="MsoNormal"> - group: default<o:p></o:p></p>
<p class="MsoNormal"> # set number of packet to queue inside kernel<o:p></o:p></p>
<p class="MsoNormal"> qthreshold: 1<o:p></o:p></p>
<p class="MsoNormal"> # set the delay before flushing packet in the queue inside kernel<o:p></o:p></p>
<p class="MsoNormal"> qtimeout: 100<o:p></o:p></p>
<p class="MsoNormal"> # netlink max buffer size<o:p></o:p></p>
<p class="MsoNormal"> max-size: 20000<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># af-packet support<o:p></o:p></p>
<p class="MsoNormal"># Set threads to > 1 to use PACKET_FANOUT support<o:p></o:p></p>
<p class="MsoNormal">af-packet:<o:p></o:p></p>
<p class="MsoNormal"> - interface: eth1<o:p></o:p></p>
<p class="MsoNormal"> # Number of receive threads (>1 will enable experimental flow pinned<o:p></o:p></p>
<p class="MsoNormal"> # runmode)<o:p></o:p></p>
<p class="MsoNormal"> threads: 1<o:p></o:p></p>
<p class="MsoNormal"> # Default clusterid. AF_PACKET will load balance packets based on flow.<o:p></o:p></p>
<p class="MsoNormal"> # All threads/processes that will participate need to have the same<o:p></o:p></p>
<p class="MsoNormal"> # clusterid.<o:p></o:p></p>
<p class="MsoNormal"> cluster-id: 99<o:p></o:p></p>
<p class="MsoNormal"> # Default AF_PACKET cluster type. AF_PACKET can load balance per flow or per hash.<o:p></o:p></p>
<p class="MsoNormal"> # This is only supported for Linux kernel > 3.1<o:p></o:p></p>
<p class="MsoNormal"> # possible value are:<o:p></o:p></p>
<p class="MsoNormal"> # * cluster_round_robin: round robin load balancing<o:p></o:p></p>
<p class="MsoNormal"> # * cluster_flow: all packets of a given flow are send to the same socket<o:p></o:p></p>
<p class="MsoNormal"> # * cluster_cpu: all packets treated in kernel by a CPU are send to the same socket<o:p></o:p></p>
<p class="MsoNormal"> cluster-type: cluster_flow<o:p></o:p></p>
<p class="MsoNormal"> # In some fragmentation case, the hash can not be computed. If "defrag" is set<o:p></o:p></p>
<p class="MsoNormal"> # to yes, the kernel will do the needed defragmentation before sending the packets.<o:p></o:p></p>
<p class="MsoNormal"> defrag: yes<o:p></o:p></p>
<p class="MsoNormal"> # To use the ring feature of AF_PACKET, set 'use-mmap' to yes<o:p></o:p></p>
<p class="MsoNormal"> use-mmap: yes<o:p></o:p></p>
<p class="MsoNormal"> # Ring size will be computed with respect to max_pending_packets and number<o:p></o:p></p>
<p class="MsoNormal"> # of threads. You can set manually the ring size in number of packets by setting<o:p></o:p></p>
<p class="MsoNormal"> # the following value. If you are using flow cluster-type and have really network<o:p></o:p></p>
<p class="MsoNormal"> # intensive single-flow you could want to set the ring-size independantly of the number<o:p></o:p></p>
<p class="MsoNormal"> # of threads:<o:p></o:p></p>
<p class="MsoNormal"> #ring-size: 2048<o:p></o:p></p>
<p class="MsoNormal"> # On busy system, this could help to set it to yes to recover from a packet drop<o:p></o:p></p>
<p class="MsoNormal"> # phase. This will result in some packets (at max a ring flush) being non treated.<o:p></o:p></p>
<p class="MsoNormal"> #use-emergency-flush: yes<o:p></o:p></p>
<p class="MsoNormal"> # recv buffer size, increase value could improve performance<o:p></o:p></p>
<p class="MsoNormal"> # buffer-size: 32768<o:p></o:p></p>
<p class="MsoNormal"> # Set to yes to disable promiscuous mode<o:p></o:p></p>
<p class="MsoNormal"> # disable-promisc: no<o:p></o:p></p>
<p class="MsoNormal"> # Choose checksum verification mode for the interface. At the moment<o:p></o:p></p>
<p class="MsoNormal"> # of the capture, some packets may be with an invalid checksum due to<o:p></o:p></p>
<p class="MsoNormal"> # offloading to the network card of the checksum computation.<o:p></o:p></p>
<p class="MsoNormal"> # Possible values are:<o:p></o:p></p>
<p class="MsoNormal"> # - kernel: use indication sent by kernel for each packet (default)<o:p></o:p></p>
<p class="MsoNormal"> # - yes: checksum validation is forced<o:p></o:p></p>
<p class="MsoNormal"> # - no: checksum validation is disabled<o:p></o:p></p>
<p class="MsoNormal"> # - auto: suricata uses a statistical approach to detect when<o:p></o:p></p>
<p class="MsoNormal"> # checksum off-loading is used.<o:p></o:p></p>
<p class="MsoNormal"> # Warning: 'checksum-validation' must be set to yes to have any validation<o:p></o:p></p>
<p class="MsoNormal"> #checksum-checks: kernel<o:p></o:p></p>
<p class="MsoNormal"> # BPF filter to apply to this interface. The pcap filter syntax apply here.<o:p></o:p></p>
<p class="MsoNormal"> #bpf-filter: port 80 or udp<o:p></o:p></p>
<p class="MsoNormal"> # You can use the following variables to activate AF_PACKET tap od IPS mode.<o:p></o:p></p>
<p class="MsoNormal"> # If copy-mode is set to ips or tap, the traffic coming to the current<o:p></o:p></p>
<p class="MsoNormal"> # interface will be copied to the copy-iface interface. If 'tap' is set, the<o:p></o:p></p>
<p class="MsoNormal"> # copy is complete. If 'ips' is set, the packet matching a 'drop' action<o:p></o:p></p>
<p class="MsoNormal"> # will not be copied.<o:p></o:p></p>
<p class="MsoNormal"> #copy-mode: ips<o:p></o:p></p>
<p class="MsoNormal"> #copy-iface: eth1<o:p></o:p></p>
<p class="MsoNormal"> - interface: eth1<o:p></o:p></p>
<p class="MsoNormal"> threads: 1<o:p></o:p></p>
<p class="MsoNormal"> cluster-id: 98<o:p></o:p></p>
<p class="MsoNormal"> cluster-type: cluster_flow<o:p></o:p></p>
<p class="MsoNormal"> defrag: yes<o:p></o:p></p>
<p class="MsoNormal"> # buffer-size: 32768<o:p></o:p></p>
<p class="MsoNormal"> # disable-promisc: no<o:p></o:p></p>
<p class="MsoNormal"> # Put default values here<o:p></o:p></p>
<p class="MsoNormal"> - interface: default<o:p></o:p></p>
<p class="MsoNormal"> #threads: 2<o:p></o:p></p>
<p class="MsoNormal"> #use-mmap: yes<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">legacy:<o:p></o:p></p>
<p class="MsoNormal"> uricontent: enabled<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># You can specify a threshold config file by setting "threshold-file"<o:p></o:p></p>
<p class="MsoNormal"># to the path of the threshold config file:<o:p></o:p></p>
<p class="MsoNormal"># threshold-file: /etc/suricata/threshold.config<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># The detection engine builds internal groups of signatures. The engine<o:p></o:p></p>
<p class="MsoNormal"># allow us to specify the profile to use for them, to manage memory on an<o:p></o:p></p>
<p class="MsoNormal"># efficient way keeping a good performance. For the profile keyword you<o:p></o:p></p>
<p class="MsoNormal"># can use the words "low", "medium", "high" or "custom". If you use custom<o:p></o:p></p>
<p class="MsoNormal"># make sure to define the values at "- custom-values" as your convenience.<o:p></o:p></p>
<p class="MsoNormal"># Usually you would prefer medium/high/low.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># "sgh mpm-context", indicates how the staging should allot mpm contexts for<o:p></o:p></p>
<p class="MsoNormal"># the signature groups. "single" indicates the use of a single context for<o:p></o:p></p>
<p class="MsoNormal"># all the signature group heads. "full" indicates a mpm-context for each<o:p></o:p></p>
<p class="MsoNormal"># group head. "auto" lets the engine decide the distribution of contexts<o:p></o:p></p>
<p class="MsoNormal"># based on the information the engine gathers on the patterns from each<o:p></o:p></p>
<p class="MsoNormal"># group head.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># The option inspection-recursion-limit is used to limit the recursive calls<o:p></o:p></p>
<p class="MsoNormal"># in the content inspection code. For certain payload-sig combinations, we<o:p></o:p></p>
<p class="MsoNormal"># might end up taking too much time in the content inspection code.<o:p></o:p></p>
<p class="MsoNormal"># If the argument specified is 0, the engine uses an internally defined<o:p></o:p></p>
<p class="MsoNormal"># default limit. On not specifying a value, we use no limits on the recursion.<o:p></o:p></p>
<p class="MsoNormal">detect-engine:<o:p></o:p></p>
<p class="MsoNormal"> - profile: medium<o:p></o:p></p>
<p class="MsoNormal"> - custom-values:<o:p></o:p></p>
<p class="MsoNormal"> toclient-src-groups: 2<o:p></o:p></p>
<p class="MsoNormal"> toclient-dst-groups: 2<o:p></o:p></p>
<p class="MsoNormal"> toclient-sp-groups: 2<o:p></o:p></p>
<p class="MsoNormal"> toclient-dp-groups: 3<o:p></o:p></p>
<p class="MsoNormal"> toserver-src-groups: 2<o:p></o:p></p>
<p class="MsoNormal"> toserver-dst-groups: 4<o:p></o:p></p>
<p class="MsoNormal"> toserver-sp-groups: 2<o:p></o:p></p>
<p class="MsoNormal"> toserver-dp-groups: 25<o:p></o:p></p>
<p class="MsoNormal"> - sgh-mpm-context: auto<o:p></o:p></p>
<p class="MsoNormal"> - inspection-recursion-limit: 3000<o:p></o:p></p>
<p class="MsoNormal"> # When rule-reload is enabled, sending a USR2 signal to the Suricata process<o:p></o:p></p>
<p class="MsoNormal"> # will trigger a live rule reload. Experimental feature, use with care.<o:p></o:p></p>
<p class="MsoNormal"> #- rule-reload: true<o:p></o:p></p>
<p class="MsoNormal"> # If set to yes, the loading of signatures will be made after the capture<o:p></o:p></p>
<p class="MsoNormal"> # is started. This will limit the downtime in IPS mode.<o:p></o:p></p>
<p class="MsoNormal"> #- delayed-detect: yes<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Suricata is multi-threaded. Here the threading can be influenced.<o:p></o:p></p>
<p class="MsoNormal">threading:<o:p></o:p></p>
<p class="MsoNormal"> # On some cpu's/architectures it is beneficial to tie individual threads<o:p></o:p></p>
<p class="MsoNormal"> # to specific CPU's/CPU cores. In this case all threads are tied to CPU0,<o:p></o:p></p>
<p class="MsoNormal"> # and each extra CPU/core has one "detect" thread.<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # On Intel Core2 and Nehalem CPU's enabling this will degrade performance.<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> set-cpu-affinity: no<o:p></o:p></p>
<p class="MsoNormal"> # Tune cpu affinity of suricata threads. Each family of threads can be bound<o:p></o:p></p>
<p class="MsoNormal"> # on specific CPUs.<o:p></o:p></p>
<p class="MsoNormal"> cpu-affinity:<o:p></o:p></p>
<p class="MsoNormal"> - management-cpu-set:<o:p></o:p></p>
<p class="MsoNormal"> cpu: [ 0 ] # include only these cpus in affinity settings<o:p></o:p></p>
<p class="MsoNormal"> - receive-cpu-set:<o:p></o:p></p>
<p class="MsoNormal"> cpu: [ 0 ] # include only these cpus in affinity settings<o:p></o:p></p>
<p class="MsoNormal"> - decode-cpu-set:<o:p></o:p></p>
<p class="MsoNormal"> cpu: [ 0, 1 ]<o:p></o:p></p>
<p class="MsoNormal"> mode: "balanced"<o:p></o:p></p>
<p class="MsoNormal"> - stream-cpu-set:<o:p></o:p></p>
<p class="MsoNormal"> cpu: [ "0-1" ]<o:p></o:p></p>
<p class="MsoNormal"> - detect-cpu-set:<o:p></o:p></p>
<p class="MsoNormal"> cpu: [ "all" ]<o:p></o:p></p>
<p class="MsoNormal"> mode: "exclusive" # run detect threads in these cpus<o:p></o:p></p>
<p class="MsoNormal"> # Use explicitely 3 threads and don't compute number by using<o:p></o:p></p>
<p class="MsoNormal"> # detect-thread-ratio variable:<o:p></o:p></p>
<p class="MsoNormal"> # threads: 3<o:p></o:p></p>
<p class="MsoNormal"> prio:<o:p></o:p></p>
<p class="MsoNormal"> low: [ 0 ]<o:p></o:p></p>
<p class="MsoNormal"> medium: [ "1-2" ]<o:p></o:p></p>
<p class="MsoNormal"> high: [ 3 ]<o:p></o:p></p>
<p class="MsoNormal"> default: "medium"<o:p></o:p></p>
<p class="MsoNormal"> - verdict-cpu-set:<o:p></o:p></p>
<p class="MsoNormal"> cpu: [ 0 ]<o:p></o:p></p>
<p class="MsoNormal"> prio:<o:p></o:p></p>
<p class="MsoNormal"> default: "high"<o:p></o:p></p>
<p class="MsoNormal"> - reject-cpu-set:<o:p></o:p></p>
<p class="MsoNormal"> cpu: [ 0 ]<o:p></o:p></p>
<p class="MsoNormal"> prio:<o:p></o:p></p>
<p class="MsoNormal"> default: "low"<o:p></o:p></p>
<p class="MsoNormal"> - output-cpu-set:<o:p></o:p></p>
<p class="MsoNormal"> cpu: [ "all" ]<o:p></o:p></p>
<p class="MsoNormal"> prio:<o:p></o:p></p>
<p class="MsoNormal"> default: "medium"<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # By default Suricata creates one "detect" thread per available CPU/CPU core.<o:p></o:p></p>
<p class="MsoNormal"> # This setting allows controlling this behaviour. A ratio setting of 2 will<o:p></o:p></p>
<p class="MsoNormal"> # create 2 detect threads for each CPU/CPU core. So for a dual core CPU this<o:p></o:p></p>
<p class="MsoNormal"> # will result in 4 detect threads. If values below 1 are used, less threads<o:p></o:p></p>
<p class="MsoNormal"> # are created. So on a dual core CPU a setting of 0.5 results in 1 detect<o:p></o:p></p>
<p class="MsoNormal"> # thread being created. Regardless of the setting at a minimum 1 detect<o:p></o:p></p>
<p class="MsoNormal"> # thread will always be created.<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> detect-thread-ratio: 1.5<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Cuda configuration.<o:p></o:p></p>
<p class="MsoNormal">cuda:<o:p></o:p></p>
<p class="MsoNormal"> # The "mpm" profile. On not specifying any of these parameters, the engine's<o:p></o:p></p>
<p class="MsoNormal"> # internal default values are used, which are same as the ones specified in<o:p></o:p></p>
<p class="MsoNormal"> # in the default conf file.<o:p></o:p></p>
<p class="MsoNormal"> mpm:<o:p></o:p></p>
<p class="MsoNormal"> # The minimum length required to buffer data to the gpu.<o:p></o:p></p>
<p class="MsoNormal"> # Anything below this is MPM'ed on the CPU.<o:p></o:p></p>
<p class="MsoNormal"> # Can be specified in kb, mb, gb. Just a number indicates it's in bytes.<o:p></o:p></p>
<p class="MsoNormal"> # A value of 0 indicates there's no limit.<o:p></o:p></p>
<p class="MsoNormal"> data-buffer-size-min-limit: 0<o:p></o:p></p>
<p class="MsoNormal"> # The maximum length for data that we would buffer to the gpu.<o:p></o:p></p>
<p class="MsoNormal"> # Anything over this is MPM'ed on the CPU.<o:p></o:p></p>
<p class="MsoNormal"> # Can be specified in kb, mb, gb. Just a number indicates it's in bytes.<o:p></o:p></p>
<p class="MsoNormal"> data-buffer-size-max-limit: 1500<o:p></o:p></p>
<p class="MsoNormal"> # The ring buffer size used by the CudaBuffer API to buffer data.<o:p></o:p></p>
<p class="MsoNormal"> cudabuffer-buffer-size: 500mb<o:p></o:p></p>
<p class="MsoNormal"> # The max chunk size that can be sent to the gpu in a single go.<o:p></o:p></p>
<p class="MsoNormal"> gpu-transfer-size: 50mb<o:p></o:p></p>
<p class="MsoNormal"> # The timeout limit for batching of packets in microseconds.<o:p></o:p></p>
<p class="MsoNormal"> batching-timeout: 2000<o:p></o:p></p>
<p class="MsoNormal"> # The device to use for the mpm. Currently we don't support load balancing<o:p></o:p></p>
<p class="MsoNormal"> # on multiple gpus. In case you have multiple devices on your system, you<o:p></o:p></p>
<p class="MsoNormal"> # can specify the device to use, using this conf. By default we hold 0, to<o:p></o:p></p>
<p class="MsoNormal"> # specify the first device cuda sees. To find out device-id associated with<o:p></o:p></p>
<p class="MsoNormal"> # the card(s) on the system run "suricata --list-cuda-cards".<o:p></o:p></p>
<p class="MsoNormal"> device-id: 0<o:p></o:p></p>
<p class="MsoNormal"> # No of Cuda streams used for asynchronous processing. All values > 0 are valid.<o:p></o:p></p>
<p class="MsoNormal"> # For this option you need a device with Compute Capability > 1.0.<o:p></o:p></p>
<p class="MsoNormal"> cuda-streams: 2<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Select the multi pattern algorithm you want to run for scan/search the<o:p></o:p></p>
<p class="MsoNormal"># in the engine. The supported algorithms are b2g, b2gc, b2gm, b3g, wumanber,<o:p></o:p></p>
<p class="MsoNormal"># ac and ac-gfbs.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># The mpm you choose also decides the distribution of mpm contexts for<o:p></o:p></p>
<p class="MsoNormal"># signature groups, specified by the conf - "detect-engine.sgh-mpm-context".<o:p></o:p></p>
<p class="MsoNormal"># Selecting "ac" as the mpm would require "detect-engine.sgh-mpm-context"<o:p></o:p></p>
<p class="MsoNormal"># to be set to "single", because of ac's memory requirements, unless the<o:p></o:p></p>
<p class="MsoNormal"># ruleset is small enough to fit in one's memory, in which case one can<o:p></o:p></p>
<p class="MsoNormal"># use "full" with "ac". Rest of the mpms can be run in "full" mode.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># There is also a CUDA pattern matcher (only available if Suricata was<o:p></o:p></p>
<p class="MsoNormal"># compiled with --enable-cuda: b2g_cuda. Make sure to update your<o:p></o:p></p>
<p class="MsoNormal"># max-pending-packets setting above as well if you use b2g_cuda.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">mpm-algo: ac<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># The memory settings for hash size of these algorithms can vary from lowest<o:p></o:p></p>
<p class="MsoNormal"># (2048) - low (4096) - medium (8192) - high (16384) - higher (32768) - max<o:p></o:p></p>
<p class="MsoNormal"># (65536). The bloomfilter sizes of these algorithms can vary from low (512) -<o:p></o:p></p>
<p class="MsoNormal"># medium (1024) - high (2048).<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># For B2g/B3g algorithms, there is a support for two different scan/search<o:p></o:p></p>
<p class="MsoNormal"># algorithms. For B2g the scan algorithms are B2gScan & B2gScanBNDMq, and<o:p></o:p></p>
<p class="MsoNormal"># search algorithms are B2gSearch & B2gSearchBNDMq. For B3g scan algorithms<o:p></o:p></p>
<p class="MsoNormal"># are B3gScan & B3gScanBNDMq, and search algorithms are B3gSearch &<o:p></o:p></p>
<p class="MsoNormal"># B3gSearchBNDMq.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># For B2g the different scan/search algorithms and, hash and bloom<o:p></o:p></p>
<p class="MsoNormal"># filter size settings. For B3g the different scan/search algorithms and, hash<o:p></o:p></p>
<p class="MsoNormal"># and bloom filter size settings. For wumanber the hash and bloom filter size<o:p></o:p></p>
<p class="MsoNormal"># settings.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">pattern-matcher:<o:p></o:p></p>
<p class="MsoNormal"> - b2gc:<o:p></o:p></p>
<p class="MsoNormal"> search-algo: B2gSearchBNDMq<o:p></o:p></p>
<p class="MsoNormal"> hash-size: low<o:p></o:p></p>
<p class="MsoNormal"> bf-size: medium<o:p></o:p></p>
<p class="MsoNormal"> - b2gm:<o:p></o:p></p>
<p class="MsoNormal"> search-algo: B2gSearchBNDMq<o:p></o:p></p>
<p class="MsoNormal"> hash-size: low<o:p></o:p></p>
<p class="MsoNormal"> bf-size: medium<o:p></o:p></p>
<p class="MsoNormal"> - b2g:<o:p></o:p></p>
<p class="MsoNormal"> search-algo: B2gSearchBNDMq<o:p></o:p></p>
<p class="MsoNormal"> hash-size: low<o:p></o:p></p>
<p class="MsoNormal"> bf-size: medium<o:p></o:p></p>
<p class="MsoNormal"> - b3g:<o:p></o:p></p>
<p class="MsoNormal"> search-algo: B3gSearchBNDMq<o:p></o:p></p>
<p class="MsoNormal"> hash-size: low<o:p></o:p></p>
<p class="MsoNormal"> bf-size: medium<o:p></o:p></p>
<p class="MsoNormal"> - wumanber:<o:p></o:p></p>
<p class="MsoNormal"> hash-size: low<o:p></o:p></p>
<p class="MsoNormal"> bf-size: medium<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Defrag settings:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">defrag:<o:p></o:p></p>
<p class="MsoNormal"> memcap: 32mb<o:p></o:p></p>
<p class="MsoNormal"> hash-size: 65536<o:p></o:p></p>
<p class="MsoNormal"> trackers: 65535 # number of defragmented flows to follow<o:p></o:p></p>
<p class="MsoNormal"> max-frags: 65535 # number of fragments to keep (higher than trackers)<o:p></o:p></p>
<p class="MsoNormal"> prealloc: yes<o:p></o:p></p>
<p class="MsoNormal"> timeout: 60<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Enable defrag per host settings<o:p></o:p></p>
<p class="MsoNormal"># host-config:<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># - dmz:<o:p></o:p></p>
<p class="MsoNormal"># timeout: 30<o:p></o:p></p>
<p class="MsoNormal"># address: [192.168.1.0/24, 127.0.0.0/8, 1.1.1.0/24, 2.2.2.0/24, "1.1.1.1", "2.2.2.2", "::1"]<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># - lan:<o:p></o:p></p>
<p class="MsoNormal"># timeout: 45<o:p></o:p></p>
<p class="MsoNormal"># address:<o:p></o:p></p>
<p class="MsoNormal"># - 192.168.0.0/24<o:p></o:p></p>
<p class="MsoNormal"># - 192.168.10.0/24<o:p></o:p></p>
<p class="MsoNormal"># - 172.16.14.0/24<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Flow settings:<o:p></o:p></p>
<p class="MsoNormal"># By default, the reserved memory (memcap) for flows is 32MB. This is the limit<o:p></o:p></p>
<p class="MsoNormal"># for flow allocation inside the engine. You can change this value to allow<o:p></o:p></p>
<p class="MsoNormal"># more memory usage for flows.<o:p></o:p></p>
<p class="MsoNormal"># The hash-size determine the size of the hash used to identify flows inside<o:p></o:p></p>
<p class="MsoNormal"># the engine, and by default the value is 65536.<o:p></o:p></p>
<p class="MsoNormal"># At the startup, the engine can preallocate a number of flows, to get a better<o:p></o:p></p>
<p class="MsoNormal"># performance. The number of flows preallocated is 10000 by default.<o:p></o:p></p>
<p class="MsoNormal"># emergency-recovery is the percentage of flows that the engine need to<o:p></o:p></p>
<p class="MsoNormal"># prune before unsetting the emergency state. The emergency state is activated<o:p></o:p></p>
<p class="MsoNormal"># when the memcap limit is reached, allowing to create new flows, but<o:p></o:p></p>
<p class="MsoNormal"># prunning them with the emergency timeouts (they are defined below).<o:p></o:p></p>
<p class="MsoNormal"># If the memcap is reached, the engine will try to prune flows<o:p></o:p></p>
<p class="MsoNormal"># with the default timeouts. If it doens't find a flow to prune, it will set<o:p></o:p></p>
<p class="MsoNormal"># the emergency bit and it will try again with more agressive timeouts.<o:p></o:p></p>
<p class="MsoNormal"># If that doesn't work, then it will try to kill the last time seen flows<o:p></o:p></p>
<p class="MsoNormal"># not in use.<o:p></o:p></p>
<p class="MsoNormal"># The memcap can be specified in kb, mb, gb. Just a number indicates it's<o:p></o:p></p>
<p class="MsoNormal"># in bytes.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">flow:<o:p></o:p></p>
<p class="MsoNormal"> memcap: 64mb<o:p></o:p></p>
<p class="MsoNormal"> hash-size: 65536<o:p></o:p></p>
<p class="MsoNormal"> prealloc: 10000<o:p></o:p></p>
<p class="MsoNormal"> emergency-recovery: 30<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># This option controls the use of vlan ids in the flow (and defrag)<o:p></o:p></p>
<p class="MsoNormal"># hashing. Normally this should be enabled, but in some (broken)<o:p></o:p></p>
<p class="MsoNormal"># setups where both sides of a flow are not tagged with the same vlan<o:p></o:p></p>
<p class="MsoNormal"># tag, we can ignore the vlan id's in the flow hashing.<o:p></o:p></p>
<p class="MsoNormal">vlan:<o:p></o:p></p>
<p class="MsoNormal"> use-for-tracking: true<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Specific timeouts for flows. Here you can specify the timeouts that the<o:p></o:p></p>
<p class="MsoNormal"># active flows will wait to transit from the current state to another, on each<o:p></o:p></p>
<p class="MsoNormal"># protocol. The value of "new" determine the seconds to wait after a hanshake or<o:p></o:p></p>
<p class="MsoNormal"># stream startup before the engine free the data of that flow it doesn't<o:p></o:p></p>
<p class="MsoNormal"># change the state to established (usually if we don't receive more packets<o:p></o:p></p>
<p class="MsoNormal"># of that flow). The value of "established" is the amount of<o:p></o:p></p>
<p class="MsoNormal"># seconds that the engine will wait to free the flow if it spend that amount<o:p></o:p></p>
<p class="MsoNormal"># without receiving new packets or closing the connection. "closed" is the<o:p></o:p></p>
<p class="MsoNormal"># amount of time to wait after a flow is closed (usually zero).<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># There's an emergency mode that will become active under attack circumstances,<o:p></o:p></p>
<p class="MsoNormal"># making the engine to check flow status faster. This configuration variables<o:p></o:p></p>
<p class="MsoNormal"># use the prefix "emergency-" and work similar as the normal ones.<o:p></o:p></p>
<p class="MsoNormal"># Some timeouts doesn't apply to all the protocols, like "closed", for udp and<o:p></o:p></p>
<p class="MsoNormal"># icmp.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">flow-timeouts:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> default:<o:p></o:p></p>
<p class="MsoNormal"> new: 30<o:p></o:p></p>
<p class="MsoNormal"> established: 300<o:p></o:p></p>
<p class="MsoNormal"> closed: 0<o:p></o:p></p>
<p class="MsoNormal"> emergency-new: 10<o:p></o:p></p>
<p class="MsoNormal"> emergency-established: 100<o:p></o:p></p>
<p class="MsoNormal"> emergency-closed: 0<o:p></o:p></p>
<p class="MsoNormal"> tcp:<o:p></o:p></p>
<p class="MsoNormal"> new: 60<o:p></o:p></p>
<p class="MsoNormal"> established: 3600<o:p></o:p></p>
<p class="MsoNormal"> closed: 120<o:p></o:p></p>
<p class="MsoNormal"> emergency-new: 10<o:p></o:p></p>
<p class="MsoNormal"> emergency-established: 300<o:p></o:p></p>
<p class="MsoNormal"> emergency-closed: 20<o:p></o:p></p>
<p class="MsoNormal"> udp:<o:p></o:p></p>
<p class="MsoNormal"> new: 30<o:p></o:p></p>
<p class="MsoNormal"> established: 300<o:p></o:p></p>
<p class="MsoNormal"> emergency-new: 10<o:p></o:p></p>
<p class="MsoNormal"> emergency-established: 100<o:p></o:p></p>
<p class="MsoNormal"> icmp:<o:p></o:p></p>
<p class="MsoNormal"> new: 30<o:p></o:p></p>
<p class="MsoNormal"> established: 300<o:p></o:p></p>
<p class="MsoNormal"> emergency-new: 10<o:p></o:p></p>
<p class="MsoNormal"> emergency-established: 100<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Stream engine settings. Here the TCP stream tracking and reassembly<o:p></o:p></p>
<p class="MsoNormal"># engine is configured.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># stream:<o:p></o:p></p>
<p class="MsoNormal"># memcap: 32mb # Can be specified in kb, mb, gb. Just a<o:p></o:p></p>
<p class="MsoNormal"># # number indicates it's in bytes.<o:p></o:p></p>
<p class="MsoNormal"># checksum-validation: yes # To validate the checksum of received<o:p></o:p></p>
<p class="MsoNormal"># # packet. If csum validation is specified as<o:p></o:p></p>
<p class="MsoNormal"># # "yes", then packet with invalid csum will not<o:p></o:p></p>
<p class="MsoNormal"># # be processed by the engine stream/app layer.<o:p></o:p></p>
<p class="MsoNormal"># # Warning: locally generated trafic can be<o:p></o:p></p>
<p class="MsoNormal"># # generated without checksum due to hardware offload<o:p></o:p></p>
<p class="MsoNormal"># # of checksum. You can control the handling of checksum<o:p></o:p></p>
<p class="MsoNormal"># # on a per-interface basis via the 'checksum-checks'<o:p></o:p></p>
<p class="MsoNormal"># # option<o:p></o:p></p>
<p class="MsoNormal"># prealloc-sessions: 2k # 2k sessions prealloc'd per stream thread<o:p></o:p></p>
<p class="MsoNormal"># midstream: false # don't allow midstream session pickups<o:p></o:p></p>
<p class="MsoNormal"># async-oneside: false # don't enable async stream handling<o:p></o:p></p>
<p class="MsoNormal"># inline: no # stream inline mode<o:p></o:p></p>
<p class="MsoNormal"># max-synack-queued: 5 # Max different SYN/ACKs to queue<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># reassembly:<o:p></o:p></p>
<p class="MsoNormal"># memcap: 64mb # Can be specified in kb, mb, gb. Just a number<o:p></o:p></p>
<p class="MsoNormal"># # indicates it's in bytes.<o:p></o:p></p>
<p class="MsoNormal"># depth: 1mb # Can be specified in kb, mb, gb. Just a number<o:p></o:p></p>
<p class="MsoNormal"># # indicates it's in bytes.<o:p></o:p></p>
<p class="MsoNormal"># toserver-chunk-size: 2560 # inspect raw stream in chunks of at least<o:p></o:p></p>
<p class="MsoNormal"># # this size. Can be specified in kb, mb,<o:p></o:p></p>
<p class="MsoNormal"># # gb. Just a number indicates it's in bytes.<o:p></o:p></p>
<p class="MsoNormal"># # The max acceptable size is 4024 bytes.<o:p></o:p></p>
<p class="MsoNormal"># toclient-chunk-size: 2560 # inspect raw stream in chunks of at least<o:p></o:p></p>
<p class="MsoNormal"># # this size. Can be specified in kb, mb,<o:p></o:p></p>
<p class="MsoNormal"># # gb. Just a number indicates it's in bytes.<o:p></o:p></p>
<p class="MsoNormal"># # The max acceptable size is 4024 bytes.<o:p></o:p></p>
<p class="MsoNormal"># randomize-chunk-size: yes # Take a random value for chunk size around the specified value.<o:p></o:p></p>
<p class="MsoNormal"># # This lower the risk of some evasion technics but could lead<o:p></o:p></p>
<p class="MsoNormal"># # detection change between runs. It is set to 'yes' by default.<o:p></o:p></p>
<p class="MsoNormal"># randomize-chunk-range: 10 # If randomize-chunk-size is active, the value of chunk-size is<o:p></o:p></p>
<p class="MsoNormal"># # a random value between (1 - randomize-chunk-range/100)*randomize-chunk-size<o:p></o:p></p>
<p class="MsoNormal"># # and (1 + randomize-chunk-range/100)*randomize-chunk-size. Default value<o:p></o:p></p>
<p class="MsoNormal"># # of randomize-chunk-range is 10.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># raw: yes # 'Raw' reassembly enabled or disabled.<o:p></o:p></p>
<p class="MsoNormal"># # raw is for content inspection by detection<o:p></o:p></p>
<p class="MsoNormal"># # engine.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># chunk-prealloc: 250 # Number of preallocated stream chunks. These<o:p></o:p></p>
<p class="MsoNormal"># # are used during stream inspection (raw).<o:p></o:p></p>
<p class="MsoNormal"># segments: # Settings for reassembly segment pool.<o:p></o:p></p>
<p class="MsoNormal"># - size: 4 # Size of the (data)segment for a pool<o:p></o:p></p>
<p class="MsoNormal"># prealloc: 256 # Number of segments to prealloc and keep<o:p></o:p></p>
<p class="MsoNormal"># # in the pool.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal">stream:<o:p></o:p></p>
<p class="MsoNormal"> memcap: 32mb<o:p></o:p></p>
<p class="MsoNormal"> checksum-validation: yes # reject wrong csums<o:p></o:p></p>
<p class="MsoNormal"> inline: auto # auto will use inline mode in IPS mode, yes or no set it statically<o:p></o:p></p>
<p class="MsoNormal"> reassembly:<o:p></o:p></p>
<p class="MsoNormal"> memcap: 128mb<o:p></o:p></p>
<p class="MsoNormal"> depth: 1mb # reassemble 1mb into a stream<o:p></o:p></p>
<p class="MsoNormal"> toserver-chunk-size: 2560<o:p></o:p></p>
<p class="MsoNormal"> toclient-chunk-size: 2560<o:p></o:p></p>
<p class="MsoNormal"> randomize-chunk-size: yes<o:p></o:p></p>
<p class="MsoNormal"> #randomize-chunk-range: 10<o:p></o:p></p>
<p class="MsoNormal"> #raw: yes<o:p></o:p></p>
<p class="MsoNormal"> #chunk-prealloc: 250<o:p></o:p></p>
<p class="MsoNormal"> #segments:<o:p></o:p></p>
<p class="MsoNormal"> # - size: 4<o:p></o:p></p>
<p class="MsoNormal"> # prealloc: 256<o:p></o:p></p>
<p class="MsoNormal"> # - size: 16<o:p></o:p></p>
<p class="MsoNormal"> # prealloc: 512<o:p></o:p></p>
<p class="MsoNormal"> # - size: 112<o:p></o:p></p>
<p class="MsoNormal"> # prealloc: 512<o:p></o:p></p>
<p class="MsoNormal"> # - size: 248<o:p></o:p></p>
<p class="MsoNormal"> # prealloc: 512<o:p></o:p></p>
<p class="MsoNormal"> # - size: 512<o:p></o:p></p>
<p class="MsoNormal"> # prealloc: 512<o:p></o:p></p>
<p class="MsoNormal"> # - size: 768<o:p></o:p></p>
<p class="MsoNormal"> # prealloc: 1024<o:p></o:p></p>
<p class="MsoNormal"> # - size: 1448<o:p></o:p></p>
<p class="MsoNormal"> # prealloc: 1024<o:p></o:p></p>
<p class="MsoNormal"> # - size: 65535<o:p></o:p></p>
<p class="MsoNormal"> # prealloc: 128<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Host table:<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># Host table is used by tagging and per host thresholding subsystems.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal">host:<o:p></o:p></p>
<p class="MsoNormal"> hash-size: 4096<o:p></o:p></p>
<p class="MsoNormal"> prealloc: 1000<o:p></o:p></p>
<p class="MsoNormal"> memcap: 16777216<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Logging configuration. This is not about logging IDS alerts, but<o:p></o:p></p>
<p class="MsoNormal"># IDS output about what its doing, errors, etc.<o:p></o:p></p>
<p class="MsoNormal">logging:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # The default log level, can be overridden in an output section.<o:p></o:p></p>
<p class="MsoNormal"> # Note that debug level logging will only be emitted if Suricata was<o:p></o:p></p>
<p class="MsoNormal"> # compiled with the --enable-debug configure option.<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # This value is overriden by the SC_LOG_LEVEL env var.<o:p></o:p></p>
<p class="MsoNormal"> default-log-level: notice<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # The default output format. Optional parameter, should default to<o:p></o:p></p>
<p class="MsoNormal"> # something reasonable if not provided. Can be overriden in an<o:p></o:p></p>
<p class="MsoNormal"> # output section. You can leave this out to get the default.<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # This value is overriden by the SC_LOG_FORMAT env var.<o:p></o:p></p>
<p class="MsoNormal"> #default-log-format: "[%i] %t - (%f:%l) <%d> (%n) -- "<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # A regex to filter output. Can be overridden in an output section.<o:p></o:p></p>
<p class="MsoNormal"> # Defaults to empty (no filter).<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # This value is overriden by the SC_LOG_OP_FILTER env var.<o:p></o:p></p>
<p class="MsoNormal"> default-output-filter:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Define your logging outputs. If none are defined, or they are all<o:p></o:p></p>
<p class="MsoNormal"> # disabled you will get the default - console output.<o:p></o:p></p>
<p class="MsoNormal"> outputs:<o:p></o:p></p>
<p class="MsoNormal"> - console:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> - file:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> filename: /var/log/suricata.log<o:p></o:p></p>
<p class="MsoNormal"> - syslog:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> facility: local7<o:p></o:p></p>
<p class="MsoNormal"> format: "[%i] <%d> -- "<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Tilera mpipe configuration. for use on Tilera TILE-Gx.<o:p></o:p></p>
<p class="MsoNormal">mpipe:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Load balancing modes: "static", "dynamic", "sticky", or "round-robin".<o:p></o:p></p>
<p class="MsoNormal"> load-balance: dynamic<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Number of Packets in each ingress packet queue. Must be 128, 512, 2028 or 65536<o:p></o:p></p>
<p class="MsoNormal"> iqueue-packets: 2048<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # List of interfaces we will listen on.<o:p></o:p></p>
<p class="MsoNormal"> inputs:<o:p></o:p></p>
<p class="MsoNormal"> - interface: xgbe2<o:p></o:p></p>
<p class="MsoNormal"> - interface: xgbe3<o:p></o:p></p>
<p class="MsoNormal"> - interface: xgbe4<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Relative weight of memory for packets of each mPipe buffer size.<o:p></o:p></p>
<p class="MsoNormal"> stack:<o:p></o:p></p>
<p class="MsoNormal"> size128: 0<o:p></o:p></p>
<p class="MsoNormal"> size256: 9<o:p></o:p></p>
<p class="MsoNormal"> size512: 0<o:p></o:p></p>
<p class="MsoNormal"> size1024: 0<o:p></o:p></p>
<p class="MsoNormal"> size1664: 7<o:p></o:p></p>
<p class="MsoNormal"> size4096: 0<o:p></o:p></p>
<p class="MsoNormal"> size10386: 0<o:p></o:p></p>
<p class="MsoNormal"> size16384: 0<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># PF_RING configuration. for use with native PF_RING support<o:p></o:p></p>
<p class="MsoNormal"># for more info see http://www.ntop.org/PF_RING.html<o:p></o:p></p>
<p class="MsoNormal">pfring:<o:p></o:p></p>
<p class="MsoNormal"> - interface: eth1<o:p></o:p></p>
<p class="MsoNormal"> # Number of receive threads (>1 will enable experimental flow pinned<o:p></o:p></p>
<p class="MsoNormal"> # runmode)<o:p></o:p></p>
<p class="MsoNormal"> threads: 1<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Default clusterid. PF_RING will load balance packets based on flow.<o:p></o:p></p>
<p class="MsoNormal"> # All threads/processes that will participate need to have the same<o:p></o:p></p>
<p class="MsoNormal"> # clusterid.<o:p></o:p></p>
<p class="MsoNormal"> cluster-id: 99<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Default PF_RING cluster type. PF_RING can load balance per flow or per hash.<o:p></o:p></p>
<p class="MsoNormal"> # This is only supported in versions of PF_RING > 4.1.1.<o:p></o:p></p>
<p class="MsoNormal"> cluster-type: cluster_flow<o:p></o:p></p>
<p class="MsoNormal"> # bpf filter for this interface<o:p></o:p></p>
<p class="MsoNormal"> #bpf-filter: tcp<o:p></o:p></p>
<p class="MsoNormal"> # Choose checksum verification mode for the interface. At the moment<o:p></o:p></p>
<p class="MsoNormal"> # of the capture, some packets may be with an invalid checksum due to<o:p></o:p></p>
<p class="MsoNormal"> # offloading to the network card of the checksum computation.<o:p></o:p></p>
<p class="MsoNormal"> # Possible values are:<o:p></o:p></p>
<p class="MsoNormal"> # - rxonly: only compute checksum for packets received by network card.<o:p></o:p></p>
<p class="MsoNormal"> # - yes: checksum validation is forced<o:p></o:p></p>
<p class="MsoNormal"> # - no: checksum validation is disabled<o:p></o:p></p>
<p class="MsoNormal"> # - auto: suricata uses a statistical approach to detect when<o:p></o:p></p>
<p class="MsoNormal"> # checksum off-loading is used. (default)<o:p></o:p></p>
<p class="MsoNormal"> # Warning: 'checksum-validation' must be set to yes to have any validation<o:p></o:p></p>
<p class="MsoNormal"> #checksum-checks: auto<o:p></o:p></p>
<p class="MsoNormal"> # Second interface<o:p></o:p></p>
<p class="MsoNormal"> #- interface: eth1<o:p></o:p></p>
<p class="MsoNormal"> # threads: 3<o:p></o:p></p>
<p class="MsoNormal"> # cluster-id: 93<o:p></o:p></p>
<p class="MsoNormal"> # cluster-type: cluster_flow<o:p></o:p></p>
<p class="MsoNormal"> # Put default values here<o:p></o:p></p>
<p class="MsoNormal"> - interface: default<o:p></o:p></p>
<p class="MsoNormal"> #threads: 2<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">pcap:<o:p></o:p></p>
<p class="MsoNormal"> - interface: eth1<o:p></o:p></p>
<p class="MsoNormal"> # On Linux, pcap will try to use mmaped capture and will use buffer-size<o:p></o:p></p>
<p class="MsoNormal"> # as total of memory used by the ring. So set this to something bigger<o:p></o:p></p>
<p class="MsoNormal"> # than 1% of your bandwidth.<o:p></o:p></p>
<p class="MsoNormal"> #buffer-size: 16777216<o:p></o:p></p>
<p class="MsoNormal"> #bpf-filter: "tcp and port 25"<o:p></o:p></p>
<p class="MsoNormal"> # Choose checksum verification mode for the interface. At the moment<o:p></o:p></p>
<p class="MsoNormal"> # of the capture, some packets may be with an invalid checksum due to<o:p></o:p></p>
<p class="MsoNormal"> # offloading to the network card of the checksum computation.<o:p></o:p></p>
<p class="MsoNormal"> # Possible values are:<o:p></o:p></p>
<p class="MsoNormal"> # - yes: checksum validation is forced<o:p></o:p></p>
<p class="MsoNormal"> # - no: checksum validation is disabled<o:p></o:p></p>
<p class="MsoNormal"> # - auto: suricata uses a statistical approach to detect when<o:p></o:p></p>
<p class="MsoNormal"> # checksum off-loading is used. (default)<o:p></o:p></p>
<p class="MsoNormal"> # Warning: 'checksum-validation' must be set to yes to have any validation<o:p></o:p></p>
<p class="MsoNormal"> #checksum-checks: auto<o:p></o:p></p>
<p class="MsoNormal"> # With some accelerator cards using a modified libpcap (like myricom), you<o:p></o:p></p>
<p class="MsoNormal"> # may want to have the same number of capture threads as the number of capture<o:p></o:p></p>
<p class="MsoNormal"> # rings. In this case, set up the threads variable to N to start N threads<o:p></o:p></p>
<p class="MsoNormal"> # listening on the same interface.<o:p></o:p></p>
<p class="MsoNormal"> #threads: 16<o:p></o:p></p>
<p class="MsoNormal"> # set to no to disable promiscuous mode:<o:p></o:p></p>
<p class="MsoNormal"> #promisc: no<o:p></o:p></p>
<p class="MsoNormal"> # set snaplen, if not set it defaults to MTU if MTU can be known<o:p></o:p></p>
<p class="MsoNormal"> # via ioctl call and to full capture if not.<o:p></o:p></p>
<p class="MsoNormal"> #snaplen: 1518<o:p></o:p></p>
<p class="MsoNormal"> # Put default values here<o:p></o:p></p>
<p class="MsoNormal"> - interface: default<o:p></o:p></p>
<p class="MsoNormal"> #checksum-checks: auto<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">pcap-file:<o:p></o:p></p>
<p class="MsoNormal"> # Possible values are:<o:p></o:p></p>
<p class="MsoNormal"> # - yes: checksum validation is forced<o:p></o:p></p>
<p class="MsoNormal"> # - no: checksum validation is disabled<o:p></o:p></p>
<p class="MsoNormal"> # - auto: suricata uses a statistical approach to detect when<o:p></o:p></p>
<p class="MsoNormal"> # checksum off-loading is used. (default)<o:p></o:p></p>
<p class="MsoNormal"> # Warning: 'checksum-validation' must be set to yes to have checksum tested<o:p></o:p></p>
<p class="MsoNormal"> checksum-checks: auto<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># For FreeBSD ipfw(8) divert(4) support.<o:p></o:p></p>
<p class="MsoNormal"># Please make sure you have ipfw_load="YES" and ipdivert_load="YES"<o:p></o:p></p>
<p class="MsoNormal"># in /etc/loader.conf or kldload'ing the appropriate kernel modules.<o:p></o:p></p>
<p class="MsoNormal"># Additionally, you need to have an ipfw rule for the engine to see<o:p></o:p></p>
<p class="MsoNormal"># the packets from ipfw. For Example:<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># ipfw add 100 divert 8000 ip from any to any<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"># The 8000 above should be the same number you passed on the command<o:p></o:p></p>
<p class="MsoNormal"># line, i.e. -d 8000<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal">ipfw:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Reinject packets at the specified ipfw rule number. This config<o:p></o:p></p>
<p class="MsoNormal"> # option is the ipfw rule number AT WHICH rule processing continues<o:p></o:p></p>
<p class="MsoNormal"> # in the ipfw processing system after the engine has finished<o:p></o:p></p>
<p class="MsoNormal"> # inspecting the packet for acceptance. If no rule number is specified,<o:p></o:p></p>
<p class="MsoNormal"> # accepted packets are reinjected at the divert rule which they entered<o:p></o:p></p>
<p class="MsoNormal"> # and IPFW rule processing continues. No check is done to verify<o:p></o:p></p>
<p class="MsoNormal"> # this will rule makes sense so care must be taken to avoid loops in ipfw.<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> ## The following example tells the engine to reinject packets<o:p></o:p></p>
<p class="MsoNormal"> # back into the ipfw firewall AT rule number 5500:<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # ipfw-reinjection-rule-number: 5500<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Set the default rule path here to search for the files.<o:p></o:p></p>
<p class="MsoNormal"># if not set, it will look at the current working dir<o:p></o:p></p>
<p class="MsoNormal">default-rule-path: /etc/suricata/rules<o:p></o:p></p>
<p class="MsoNormal">rule-files:<o:p></o:p></p>
<p class="MsoNormal">- botcc.rules<o:p></o:p></p>
<p class="MsoNormal">- ciarmy.rules<o:p></o:p></p>
<p class="MsoNormal">- compromised.rules<o:p></o:p></p>
<p class="MsoNormal">- drop.rules<o:p></o:p></p>
<p class="MsoNormal">- dshield.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-activex.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-attack_response.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-chat.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-current_events.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-dns.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-dos.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-exploit.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-ftp.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-games.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-icmp_info.rules<o:p></o:p></p>
<p class="MsoNormal"># - emerging-icmp.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-imap.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-inappropriate.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-malware.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-misc.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-mobile_malware.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-netbios.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-p2p.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-policy.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-pop3.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-rpc.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-scada.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-scan.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-shellcode.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-smtp.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-snmp.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-sql.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-telnet.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-tftp.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-trojan.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-user_agents.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-voip.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-web_client.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-web_server.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-web_specific_apps.rules<o:p></o:p></p>
<p class="MsoNormal">- emerging-worm.rules<o:p></o:p></p>
<p class="MsoNormal">- tor.rules<o:p></o:p></p>
<p class="MsoNormal">- decoder-events.rules # available in suricata sources under rules dir<o:p></o:p></p>
<p class="MsoNormal">- stream-events.rules # available in suricata sources under rules dir<o:p></o:p></p>
<p class="MsoNormal">- http-events.rules # available in suricata sources under rules dir<o:p></o:p></p>
<p class="MsoNormal">- smtp-events.rules # available in suricata sources under rules dir<o:p></o:p></p>
<p class="MsoNormal">- dns-events.rules # available in suricata sources under rules dir<o:p></o:p></p>
<p class="MsoNormal">- tls-events.rules # available in suricata sources under rules dir<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">classification-file: /etc/suricata/classification.config<o:p></o:p></p>
<p class="MsoNormal">reference-config-file: /etc/suricata/reference.config<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Holds variables that would be used by the engine.<o:p></o:p></p>
<p class="MsoNormal">vars:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Holds the address group vars that would be passed in a Signature.<o:p></o:p></p>
<p class="MsoNormal"> # These would be retrieved during the Signature address parsing stage.<o:p></o:p></p>
<p class="MsoNormal"> address-groups:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> HOME_NET: "[192.168.0.0/16,10.0.0.0/8,172.16.0.0/12]"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> EXTERNAL_NET: "!$HOME_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> HTTP_SERVERS: "$HOME_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> SMTP_SERVERS: "$HOME_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> SQL_SERVERS: "$HOME_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> DNS_SERVERS: "$HOME_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> TELNET_SERVERS: "$HOME_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> AIM_SERVERS: "$EXTERNAL_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> DNP3_SERVER: "$HOME_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> DNP3_CLIENT: "$HOME_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> MODBUS_CLIENT: "$HOME_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> MODBUS_SERVER: "$HOME_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> ENIP_CLIENT: "$HOME_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> ENIP_SERVER: "$HOME_NET"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Holds the port group vars that would be passed in a Signature.<o:p></o:p></p>
<p class="MsoNormal"> # These would be retrieved during the Signature port parsing stage.<o:p></o:p></p>
<p class="MsoNormal"> port-groups:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> HTTP_PORTS: "80"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> SHELLCODE_PORTS: "!80"<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> ORACLE_PORTS: 1521<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> SSH_PORTS: 22<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> DNP3_PORTS: 20000<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Set the order of alerts bassed on actions<o:p></o:p></p>
<p class="MsoNormal"># The default order is pass, drop, reject, alert<o:p></o:p></p>
<p class="MsoNormal">action-order:<o:p></o:p></p>
<p class="MsoNormal"> - pass<o:p></o:p></p>
<p class="MsoNormal"> - drop<o:p></o:p></p>
<p class="MsoNormal"> - reject<o:p></o:p></p>
<p class="MsoNormal"> - alert<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># IP Reputation<o:p></o:p></p>
<p class="MsoNormal">#reputation-categories-file: /etc/suricata/iprep/categories.txt<o:p></o:p></p>
<p class="MsoNormal">#default-reputation-path: /etc/suricata/iprep<o:p></o:p></p>
<p class="MsoNormal">#reputation-files:<o:p></o:p></p>
<p class="MsoNormal"># - reputation.list<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Host specific policies for defragmentation and TCP stream<o:p></o:p></p>
<p class="MsoNormal"># reassembly. The host OS lookup is done using a radix tree, just<o:p></o:p></p>
<p class="MsoNormal"># like a routing table so the most specific entry matches.<o:p></o:p></p>
<p class="MsoNormal">host-os-policy:<o:p></o:p></p>
<p class="MsoNormal"> # Make the default policy windows.<o:p></o:p></p>
<p class="MsoNormal"> windows: [0.0.0.0/0]<o:p></o:p></p>
<p class="MsoNormal"> bsd: []<o:p></o:p></p>
<p class="MsoNormal"> bsd-right: []<o:p></o:p></p>
<p class="MsoNormal"> old-linux: []<o:p></o:p></p>
<p class="MsoNormal"> linux: [10.0.0.0/8, 192.168.1.100, "8762:2352:6241:7245:E000:0000:0000:0000"]<o:p></o:p></p>
<p class="MsoNormal"> old-solaris: []<o:p></o:p></p>
<p class="MsoNormal"> solaris: ["::1"]<o:p></o:p></p>
<p class="MsoNormal"> hpux10: []<o:p></o:p></p>
<p class="MsoNormal"> hpux11: []<o:p></o:p></p>
<p class="MsoNormal"> irix: []<o:p></o:p></p>
<p class="MsoNormal"> macos: []<o:p></o:p></p>
<p class="MsoNormal"> vista: []<o:p></o:p></p>
<p class="MsoNormal"> windows2k3: []<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Limit for the maximum number of asn1 frames to decode (default 256)<o:p></o:p></p>
<p class="MsoNormal">asn1-max-frames: 256<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># When run with the option --engine-analysis, the engine will read each of<o:p></o:p></p>
<p class="MsoNormal"># the parameters below, and print reports for each of the enabled sections<o:p></o:p></p>
<p class="MsoNormal"># and exit. The reports are printed to a file in the default log dir<o:p></o:p></p>
<p class="MsoNormal"># given by the parameter "default-log-dir", with engine reporting<o:p></o:p></p>
<p class="MsoNormal"># subsection below printing reports in its own report file.<o:p></o:p></p>
<p class="MsoNormal">engine-analysis:<o:p></o:p></p>
<p class="MsoNormal"> # enables printing reports for fast-pattern for every rule.<o:p></o:p></p>
<p class="MsoNormal"> rules-fast-pattern: yes<o:p></o:p></p>
<p class="MsoNormal"> # enables printing reports for each rule<o:p></o:p></p>
<p class="MsoNormal"> rules: yes<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">#recursion and match limits for PCRE where supported<o:p></o:p></p>
<p class="MsoNormal">pcre:<o:p></o:p></p>
<p class="MsoNormal"> match-limit: 3500<o:p></o:p></p>
<p class="MsoNormal"> match-limit-recursion: 1500<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Holds details on the app-layer. The protocols section details each protocol.<o:p></o:p></p>
<p class="MsoNormal"># Under each protocol, the default value for detection-enabled and "<o:p></o:p></p>
<p class="MsoNormal"># parsed-enabled is yes, unless specified otherwise.<o:p></o:p></p>
<p class="MsoNormal"># Each protocol covers enabling/disabling parsers for all ipprotos<o:p></o:p></p>
<p class="MsoNormal"># the app-layer protocol runs on. For example "dcerpc" refers to the tcp<o:p></o:p></p>
<p class="MsoNormal"># version of the protocol as well as the udp version of the protocol.<o:p></o:p></p>
<p class="MsoNormal"># The option "enabled" takes 3 values - "yes", "no", "detection-only".<o:p></o:p></p>
<p class="MsoNormal"># "yes" enables both detection and the parser, "no" disables both, and<o:p></o:p></p>
<p class="MsoNormal"># "detection-only" enables detection only(parser disabled).<o:p></o:p></p>
<p class="MsoNormal">app-layer:<o:p></o:p></p>
<p class="MsoNormal"> protocols:<o:p></o:p></p>
<p class="MsoNormal"> tls:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> detection-ports:<o:p></o:p></p>
<p class="MsoNormal"> dp: 443<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> #no-reassemble: yes<o:p></o:p></p>
<p class="MsoNormal"> dcerpc:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> ftp:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> ssh:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> smtp:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> imap:<o:p></o:p></p>
<p class="MsoNormal"> enabled: detection-only<o:p></o:p></p>
<p class="MsoNormal"> msn:<o:p></o:p></p>
<p class="MsoNormal"> enabled: detection-only<o:p></o:p></p>
<p class="MsoNormal"> smb:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> detection-ports:<o:p></o:p></p>
<p class="MsoNormal"> dp: 139<o:p></o:p></p>
<p class="MsoNormal"> # smb2 detection is disabled internally inside the engine.<o:p></o:p></p>
<p class="MsoNormal"> #smb2:<o:p></o:p></p>
<p class="MsoNormal"> # enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> dns:<o:p></o:p></p>
<p class="MsoNormal"> # memcaps. Globally and per flow/state.<o:p></o:p></p>
<p class="MsoNormal"> #global-memcap: 16mb<o:p></o:p></p>
<p class="MsoNormal"> #state-memcap: 512kb<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # How many unreplied DNS requests are considered a flood.<o:p></o:p></p>
<p class="MsoNormal"> # If the limit is reached, app-layer-event:dns.flooded; will match.<o:p></o:p></p>
<p class="MsoNormal"> #request-flood: 500<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> tcp:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> detection-ports:<o:p></o:p></p>
<p class="MsoNormal"> dp: 53<o:p></o:p></p>
<p class="MsoNormal"> udp:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> detection-ports:<o:p></o:p></p>
<p class="MsoNormal"> dp: 53<o:p></o:p></p>
<p class="MsoNormal"> http:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> # memcap: 64mb<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> ###########################################################################<o:p></o:p></p>
<p class="MsoNormal"> # Configure libhtp.<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # default-config: Used when no server-config matches<o:p></o:p></p>
<p class="MsoNormal"> # personality: List of personalities used by default<o:p></o:p></p>
<p class="MsoNormal"> # request-body-limit: Limit reassembly of request body for inspection<o:p></o:p></p>
<p class="MsoNormal"> # by http_client_body & pcre /P option.<o:p></o:p></p>
<p class="MsoNormal"> # response-body-limit: Limit reassembly of response body for inspection<o:p></o:p></p>
<p class="MsoNormal"> # by file_data, http_server_body & pcre /Q option.<o:p></o:p></p>
<p class="MsoNormal"> # double-decode-path: Double decode path section of the URI<o:p></o:p></p>
<p class="MsoNormal"> # double-decode-query: Double decode query section of the URI<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # server-config: List of server configurations to use if address matches<o:p></o:p></p>
<p class="MsoNormal"> # address: List of ip addresses or networks for this block<o:p></o:p></p>
<p class="MsoNormal"> # personalitiy: List of personalities used by this block<o:p></o:p></p>
<p class="MsoNormal"> # request-body-limit: Limit reassembly of request body for inspection<o:p></o:p></p>
<p class="MsoNormal"> # by http_client_body & pcre /P option.<o:p></o:p></p>
<p class="MsoNormal"> # response-body-limit: Limit reassembly of response body for inspection<o:p></o:p></p>
<p class="MsoNormal"> # by file_data, http_server_body & pcre /Q option.<o:p></o:p></p>
<p class="MsoNormal"> # double-decode-path: Double decode path section of the URI<o:p></o:p></p>
<p class="MsoNormal"> # double-decode-query: Double decode query section of the URI<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # uri-include-all: Include all parts of the URI. By default the<o:p></o:p></p>
<p class="MsoNormal"> # 'scheme', username/password, hostname and port<o:p></o:p></p>
<p class="MsoNormal"> # are excluded. Setting this option to true adds<o:p></o:p></p>
<p class="MsoNormal"> # all of them to the normalized uri as inspected<o:p></o:p></p>
<p class="MsoNormal"> # by http_uri, urilen, pcre with /U and the other<o:p></o:p></p>
<p class="MsoNormal"> # keywords that inspect the normalized uri.<o:p></o:p></p>
<p class="MsoNormal"> # Note that this does not affect http_raw_uri.<o:p></o:p></p>
<p class="MsoNormal"> # Also, note that including all was the default in<o:p></o:p></p>
<p class="MsoNormal"> # 1.4 and 2.0beta1.<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # meta-field-limit: Hard size limit for request and response size<o:p></o:p></p>
<p class="MsoNormal"> # limits. Applies to request line and headers,<o:p></o:p></p>
<p class="MsoNormal"> # response line and headers. Does not apply to<o:p></o:p></p>
<p class="MsoNormal"> # request or response bodies. Default is 18k.<o:p></o:p></p>
<p class="MsoNormal"> # If this limit is reached an event is raised.<o:p></o:p></p>
<p class="MsoNormal"> #<o:p></o:p></p>
<p class="MsoNormal"> # Currently Available Personalities:<o:p></o:p></p>
<p class="MsoNormal"> # Minimal<o:p></o:p></p>
<p class="MsoNormal"> # Generic<o:p></o:p></p>
<p class="MsoNormal"> # IDS (default)<o:p></o:p></p>
<p class="MsoNormal"> # IIS_4_0<o:p></o:p></p>
<p class="MsoNormal"> # IIS_5_0<o:p></o:p></p>
<p class="MsoNormal"> # IIS_5_1<o:p></o:p></p>
<p class="MsoNormal"> # IIS_6_0<o:p></o:p></p>
<p class="MsoNormal"> # IIS_7_0<o:p></o:p></p>
<p class="MsoNormal"> # IIS_7_5<o:p></o:p></p>
<p class="MsoNormal"> # Apache_2<o:p></o:p></p>
<p class="MsoNormal"> ###########################################################################<o:p></o:p></p>
<p class="MsoNormal"> libhtp:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> default-config:<o:p></o:p></p>
<p class="MsoNormal"> personality: IDS<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Can be specified in kb, mb, gb. Just a number indicates<o:p></o:p></p>
<p class="MsoNormal"> # it's in bytes.<o:p></o:p></p>
<p class="MsoNormal"> request-body-limit: 3072<o:p></o:p></p>
<p class="MsoNormal"> response-body-limit: 3072<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # inspection limits<o:p></o:p></p>
<p class="MsoNormal"> request-body-minimal-inspect-size: 32kb<o:p></o:p></p>
<p class="MsoNormal"> request-body-inspect-window: 4kb<o:p></o:p></p>
<p class="MsoNormal"> response-body-minimal-inspect-size: 32kb<o:p></o:p></p>
<p class="MsoNormal"> response-body-inspect-window: 4kb<o:p></o:p></p>
<p class="MsoNormal"> # Take a random value for inspection sizes around the specified value.<o:p></o:p></p>
<p class="MsoNormal"> # This lower the risk of some evasion technics but could lead<o:p></o:p></p>
<p class="MsoNormal"> # detection change between runs. It is set to 'yes' by default.<o:p></o:p></p>
<p class="MsoNormal"> #randomize-inspection-sizes: yes<o:p></o:p></p>
<p class="MsoNormal"> # If randomize-inspection-sizes is active, the value of various<o:p></o:p></p>
<p class="MsoNormal"> # inspection size will be choosen in the [1 - range%, 1 + range%]<o:p></o:p></p>
<p class="MsoNormal"> # range<o:p></o:p></p>
<p class="MsoNormal"> # Default value of randomize-inspection-range is 10.<o:p></o:p></p>
<p class="MsoNormal"> #randomize-inspection-range: 10<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # decoding<o:p></o:p></p>
<p class="MsoNormal"> double-decode-path: no<o:p></o:p></p>
<p class="MsoNormal"> double-decode-query: no<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> server-config:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> #- apache:<o:p></o:p></p>
<p class="MsoNormal"> # address: [192.168.1.0/24, 127.0.0.0/8, "::1"]<o:p></o:p></p>
<p class="MsoNormal"> # personality: Apache_2<o:p></o:p></p>
<p class="MsoNormal"> # # Can be specified in kb, mb, gb. Just a number indicates<o:p></o:p></p>
<p class="MsoNormal"> # # it's in bytes.<o:p></o:p></p>
<p class="MsoNormal"> # request-body-limit: 4096<o:p></o:p></p>
<p class="MsoNormal"> # response-body-limit: 4096<o:p></o:p></p>
<p class="MsoNormal"> # double-decode-path: no<o:p></o:p></p>
<p class="MsoNormal"> # double-decode-query: no<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> #- iis7:<o:p></o:p></p>
<p class="MsoNormal"> # address:<o:p></o:p></p>
<p class="MsoNormal"> # - 192.168.0.0/24<o:p></o:p></p>
<p class="MsoNormal"> # - 192.168.10.0/24<o:p></o:p></p>
<p class="MsoNormal"> # personality: IIS_7_0<o:p></o:p></p>
<p class="MsoNormal"> # # Can be specified in kb, mb, gb. Just a number indicates<o:p></o:p></p>
<p class="MsoNormal"> # # it's in bytes.<o:p></o:p></p>
<p class="MsoNormal"> # request-body-limit: 4096<o:p></o:p></p>
<p class="MsoNormal"> # response-body-limit: 4096<o:p></o:p></p>
<p class="MsoNormal"> # double-decode-path: no<o:p></o:p></p>
<p class="MsoNormal"> # double-decode-query: no<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Profiling settings. Only effective if Suricata has been built with the<o:p></o:p></p>
<p class="MsoNormal"># the --enable-profiling configure flag.<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal">profiling:<o:p></o:p></p>
<p class="MsoNormal"> # Run profiling for every xth packet. The default is 1, which means we<o:p></o:p></p>
<p class="MsoNormal"> # profile every packet. If set to 1000, one packet is profiled for every<o:p></o:p></p>
<p class="MsoNormal"> # 1000 received.<o:p></o:p></p>
<p class="MsoNormal"> #sample-rate: 1000<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # rule profiling<o:p></o:p></p>
<p class="MsoNormal"> rules:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Profiling can be disabled here, but it will still have a<o:p></o:p></p>
<p class="MsoNormal"> # performance impact if compiled in.<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> filename: rule_perf.log<o:p></o:p></p>
<p class="MsoNormal"> append: yes<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Sort options: ticks, avgticks, checks, matches, maxticks<o:p></o:p></p>
<p class="MsoNormal"> sort: avgticks<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Limit the number of items printed at exit.<o:p></o:p></p>
<p class="MsoNormal"> limit: 100<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # per keyword profiling<o:p></o:p></p>
<p class="MsoNormal"> keywords:<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> filename: keyword_perf.log<o:p></o:p></p>
<p class="MsoNormal"> append: yes<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # packet profiling<o:p></o:p></p>
<p class="MsoNormal"> packets:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Profiling can be disabled here, but it will still have a<o:p></o:p></p>
<p class="MsoNormal"> # performance impact if compiled in.<o:p></o:p></p>
<p class="MsoNormal"> enabled: yes<o:p></o:p></p>
<p class="MsoNormal"> filename: packet_stats.log<o:p></o:p></p>
<p class="MsoNormal"> append: yes<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # per packet csv output<o:p></o:p></p>
<p class="MsoNormal"> csv:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # Output can be disabled here, but it will still have a<o:p></o:p></p>
<p class="MsoNormal"> # performance impact if compiled in.<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> filename: packet_stats.csv<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # profiling of locking. Only available when Suricata was built with<o:p></o:p></p>
<p class="MsoNormal"> # --enable-profiling-locks.<o:p></o:p></p>
<p class="MsoNormal"> locks:<o:p></o:p></p>
<p class="MsoNormal"> enabled: no<o:p></o:p></p>
<p class="MsoNormal"> filename: lock_stats.log<o:p></o:p></p>
<p class="MsoNormal"> append: yes<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Suricata core dump configuration. Limits the size of the core dump file to<o:p></o:p></p>
<p class="MsoNormal"># approximately max-dump. The actual core dump size will be a multiple of the<o:p></o:p></p>
<p class="MsoNormal"># page size. Core dumps that would be larger than max-dump are truncated. On<o:p></o:p></p>
<p class="MsoNormal"># Linux, the actual core dump size may be a few pages larger than max-dump.<o:p></o:p></p>
<p class="MsoNormal"># Setting max-dump to 0 disables core dumping.<o:p></o:p></p>
<p class="MsoNormal"># Setting max-dump to 'unlimited' will give the full core dump file.<o:p></o:p></p>
<p class="MsoNormal"># On 32-bit Linux, a max-dump value >= ULONG_MAX may cause the core dump size<o:p></o:p></p>
<p class="MsoNormal"># to be 'unlimited'.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">coredump:<o:p></o:p></p>
<p class="MsoNormal"> max-dump: unlimited<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">napatech:<o:p></o:p></p>
<p class="MsoNormal"> # The Host Buffer Allowance for all streams<o:p></o:p></p>
<p class="MsoNormal"> # (-1 = OFF, 1 - 100 = percentage of the host buffer that can be held back)<o:p></o:p></p>
<p class="MsoNormal"> hba: -1<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # use_all_streams set to "yes" will query the Napatech service for all configured<o:p></o:p></p>
<p class="MsoNormal"> # streams and listen on all of them. When set to "no" the streams config array<o:p></o:p></p>
<p class="MsoNormal"> # will be used.<o:p></o:p></p>
<p class="MsoNormal"> use-all-streams: yes<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"> # The streams to listen on<o:p></o:p></p>
<p class="MsoNormal"> streams: [1, 2, 3]<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># Includes. Files included here will be handled as if they were<o:p></o:p></p>
<p class="MsoNormal"># inlined in this configuration file.<o:p></o:p></p>
<p class="MsoNormal">#include: include1.yaml<o:p></o:p></p>
<p class="MsoNormal">#include: include2.yaml<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
</div>
</body>
</html>