Yanlış pozitif ayarı ve kural bakımı

Yeni bir kural devreye girdiğinde ilk günler gürültülü geçer. Kural, tasarlandığı saldırıyı yakalar ama bazen zararsız trafiği de aynı örüntüye benzediği için işaretler. Buna yanlış pozitif denir. Bir bankanın giriş sayfasını koruyan kural buna iyi bir örnektir, ilk hafta çok sayıda yanlış pozitif üretir, çünkü meşru kullanıcılar da benzer örüntüde istek gönderir. Az sayıda yanlış pozitif sorun değildir, analist hızlıca eler. Ama sayı arttıkça gerçek alarm gürültünün arasında kaybolur, bu duruma alarm yorgunluğu denir. Analist zamanla her alarmı ciddiye almayı bırakır ve gerçek bir saldırı da fark edilmeden geçebilir. Ayarlama bu riski azaltır. Amaç kuralı tamamen susturmak değildir, gereksiz tekrarı ve yanlış eşleşmeyi kesmektir. İyi ayarlanmış bir kural seti az sayıda ama güvenilir alarm üretir.

Suricata iki araç sunar. threshold, aynı alarmın belirli bir sürede kaç kez üretileceğini sınırlar; örneğin bir dakikada beş eşleşmeden sonrasını bastırır ama alarmı tamamen kapatmaz. suppress ise belirli bir kaynağı kalıcı olarak susturur; güvendiğin bir tarama sunucusunun her taramasını alarm olarak görmek istemezsin. İki mekanizma da kuralın kendisini silmez, yalnız çıktısını daraltır. Kuralı silmek son çaredir, çünkü ileride aynı saldırı başka bir kaynaktan gelebilir.

suppress gen_id 1, sig_id 1000001, track by_src, ip 198.51.100.10
threshold gen_id 1, sig_id 1000001, type limit, track by_src, count 5, seconds 60

İlk satır 198.51.100.10 adresinden gelen bu imzayı hep susturur, çünkü o adres güvenilir bir tarama sunucusudur. İkinci satır aynı imzanın altmış saniyede beşten fazla eşleşmesini bastırır, patlama halinde gelen tekrarları tek alarma indirir. İkisi birlikte kullanılabilir, farklı senaryolara karşılık gelir.