Suricataでネットワークセキュリティを強化する方法｜仕組みから導入・運用まで徹底解説

オープンソースの脅威検知エンジン「Suricata（スリカタ）」は、侵入検知システム（IDS）、侵入防止システム（IPS）、ネットワークセキュリティ監視（NSM）として幅広く活用できる強力なツールです。本記事では、Suricataの動作原理、検知できる脅威の種類、導入手順、Snortとの比較など、よくある疑問に答える形で詳しく解説します。

Suricataの基本的な仕組み

Suricataは、システムからパケットを1つずつ取り込み、前処理を行ったうえで検知エンジンへ渡すという流れで動作します。pcapを使用したIDSモードで実行できるほか、Linuxの「nfnetlink_queue」機能を利用してネットワーク上の脅威を検知することも可能です。このモードでは、悪意のあるパケットと判定された通信はその場でドロップ（破棄）されます。

Suricataで検知できるもの

Suricataは、ファイル識別機能、MD5チェックサム、ファイル抽出機能を組み合わせることで、さまざまな種類のファイルを容易に特定できます。MD5チェックサムの監視機能を使えばシステムファイルの変更を継続的に把握でき、既知のマルウェアのチェックサムと照合することで感染ファイルの場所を常に把握することもできます。

Suricataはシグネチャベースの検知方式か

Suricataは、業界最高水準とされるシグネチャベースの侵入検知プラットフォームであり、Bricata社が提供する3つの主要検知エンジンのひとつに位置づけられています。

LinuxでSuricataを使う方法

Suricataは無償でダウンロードして利用できます。導入の大まかな流れは以下のとおりです。

1. 公式サイトからソフトウェアをダウンロードし、必要なコンポーネントを追加します。
2. ソフトウェアを格納したディレクトリにアクセスします。
3. コンパイル・ビルド・設定を行い、インストールを実行します。
4. 適切な権限を設定します。
5. IDSをデーモンとして起動し、ログを出力できるようにします。

Suricataの主な利用者

Suricataは世界中の企業や教育機関で採用されています。例えば、従業員1万人以上、売上高10億ドル超のCode42社や、名門カーネギーメロン大学（cmu.edu）などが挙げられます。これらの組織は、高度なネットワーク脅威検知のためにSuricataを活用しています。

Suricataはファイアウォールなのか

Suricata自体はファイアウォールではありませんが、2020年11月以降、AWS Network Firewallサービスにおいて、オープンソースのルールセットをインポートするか、Suricataのルール構文で独自のIPSルールを作成することで、Suricata IPSルールを利用できるようになりました。

Suricataの評価はどうか

利用者のレビューでは、「Suricataはコストパフォーマンスに優れたオープンソースのネットワーク型IDSであり、導入する価値が十分にある」と高く評価されています。他のオープンソースのルールセットと組み合わせれば、ネットワーク脅威をかなり高い確率で検知できるでしょう。

Suricataルールとは

Suricataは、HTTP、FTP、TLS（SSLを含む）、SMB、DNS（バージョン2.0以降）といったプロトコルに対応しています。これらはいわゆるレイヤー7（アプリケーション層）プロトコルです。たとえばHTTPプロトコル向けにシグネチャを作成した場合、SuricataはHTTPトラフィックに関連するシグネチャのみを適用してマッチングを行います。

Suricataはホストベースか

Suricataには主に3つの用途があります。最も設定が簡単なのはホストベースIDSとしての使い方で、各コンピューターのネットワークトラフィックを個別に監視します。また、ネットワーク全体のトラフィックを監視し、悪意のある通信を検知した際に管理者へ通知する構成も一般的です。

NIDSで検知できるもの

シグネチャベースの防御システムは、ネットワークトラフィック中の特定のパターン（バイト数、1や0の出現数など）を観察することで攻撃を見分けます。さらに、既知のマルウェアに特有の命令シーケンスを照合することで、マルウェアも検出します。

Suricataは異常検知ベースか

NIDS構成において、Suricataはシグネチャベースの検知装置として既知の攻撃を発見する役割を担い、Isolation Forest Algorithm（IFA／孤立森アルゴリズム）がネットワークの異常検知を担当するという併用構成が可能です。なお、Suricata IDSは、長年使われてきたSnort IDSのマルチスレッド対応の代替として開発された経緯があります。

SnortとSuricata、どちらが優れているか

アプリケーション検知において、SuricataはOpenAppIDによって実現していますが、その分処理速度は低下します。両者の違いは性能と機能のトレードオフに集約されると言えます。

SuricataはNIDSなのか

はい。Suricataは最先端のオープンソース脅威検知エンジンとして、世界で3,100万人以上のユーザーに利用されているネットワーク型IDS（NIDS）です。

Suricataシグネチャとは

Suricataのシグネチャは、無料かつオープンソースのルールデータベースである「Emerging Threats」から抽出されたものです。このルールセットはダウンロードして、Suricataのインスタンスでそのまま利用できます。

Suricataはホストベースかネットワークベースか

Suricataはオープンソースのネットワーク脅威検知エンジンであり、侵入検知（IDS）、侵入防止（IPS）、ネットワークセキュリティ監視（NSM）の用途で使用できます。基本はネットワークベースですが、ホスト単位での監視にも対応します。

Snortは異常検知ベースかシグネチャベースか

Snort（2001年登場）などの侵入検知システムは、シグネチャ検知方式を採用しており、ネットワークトラフィック内のパターンを攻撃パターンと照合します。一方、ネットワーク異常検知ソフトウェアは、通常と異なるシステムコールなどを重点的に監視する仕組みです。

LinuxでSuricataを実行する手順

1. Atlantic.Netなどのクラウドサーバーを新規作成し、サーバーにログインします。
2. 必要な依存ライブラリをインストールします。
3. Suricataをインストールします。
4. Suricataの設定ファイルを編集します。
5. DDoS攻撃などに対する耐性をテストして動作を確認します。

UbuntuでSuricataを実行する手順

Ubuntu 18では、Suricataをソースからビルドしてインストールできます。デフォルトではIDS機能が有効になりますが、IPS機能を実装したい場合は追加のライブラリが必要です。tarballのダウンロード完了後に展開し、展開先ディレクトリへ移動して、Suricataエンジンをコンパイルするための設定を行います。

Suricata環境へのアクセス方法

IDSを開始するには、まず仮想マシンを作成します。作成したマシンは、アダプター2経由でネットワークに接続できます。接続が成功したら、OS（本チュートリアルではUbuntu 32bit版）をインストールします。

SuricataをIPSモードで実行する方法

1. Netfilter関連のパッケージをインストールします。
2. Suricataの設定でNFQUEUEオプションを有効化します。
3. インストールとビルドを完了させます。
4. iptablesルールを作成し、ファイアウォールを設定します。
5. SuricataをNFQモードで設定します。
6. Suricataを起動し、NFQUEUE経由でパケットのフィルタリングを開始します。

以上のように、SuricataはIDS・IPS・NSMといった多様な役割を担える柔軟性の高いツールです。シグネチャベースの確実な検知に加え、AWS Network Firewallとの連携や異常検知アルゴリズムとの併用も可能なため、組織のネットワークセキュリティ強化の第一歩として最適な選択肢と言えるでしょう。