如何为Suricata警报编写自定义警报格式

Question

我试图为Suricata警报编写（非常简单的）自定义格式，以便将其摄取到我编写的Python应用程序中。

在我找到的documentation中，它表示某些字段，例如＆＃34; - http-log：＆＃34;，支持自定义值＆＃39;选项。我试图确定＆＃34; -fast＆＃34;生成我感兴趣的警报的部分也支持自定义格式。

如果有人为Suricata的fast.log编写了自定义警报格式，我将有兴趣了解您是如何做到的。提前感谢您的时间和帮助。

Answer 1

不幸的是，Suricata不支持自己的＆＃34; -fast＆＃34;在撰写本文时基于行的警报。 Suricata配置的documentation只有一些选项（指定文件名和附加选项），用于此类警报日志记录。最新的Suricata源（可下载的here）显示-fast logging选项的输出是下面显示的{{1}}文件中的硬编码格式。

鉴于Suricata快速警报格式的设计与Snort alert_fast日志记录选项的格式相同，利用现有的Python solution解析Snort警报可能会有所帮助，并应用在这种情况下类似的做法。

Answer 2

您还可以使用lua脚本生成自己的输出格式。源代码中有一个示例在此处实现类似快速日志的输出：https://github.com/inliniac/suricata/blob/master/lua/fast.lua

可以在此处找到Suricata中Lua选项的文档：http://suricata.readthedocs.io/en/latest/output/lua-output.html