Suricata IDS 旁路部署笔记

防火墙是控制点，IDS 是观察点。二月在核心交换机做了 SPAN，把流量镜像给一台跑 Suricata 的小主机。不 inline，不阻断，先看家里「正常」长什么样。这篇是旁路实验笔记，按接线、基线、噪声、联动的实验顺序记，不是安装向导全文。

实验动机：为什么先旁路

inline IPS 误报会直接切断网络，家庭环境里代价很高：配偶视频会议、孩子网课、IoT 集体重连。旁路的好处清楚——Suricata 挂了业务还在；规则误报默认不切断；适合先建立基线再谈封禁。代价也清楚：你只能看得到，默认挡不住。需要阻断时，再把结论沉淀到防火墙，而不是让 IDS 一时兴起。

接线与镜像口现实

核心交换机选一个镜像源（例如上行口或 LAN 聚合），目的口接 Suricata 主机的专用网卡。该网卡打开混杂模式，不配业务 IP 也行，专吃镜像。概念检查：

ip link set eth1 promisc on
suricata -T -c /etc/suricata/suricata.yaml

HOME_NET 必须设对，否则告警全是噪声或全漏。家里网段、VPN 网段、访客网是否算 HOME，要事先想清楚；漏写 VPN 段会把正常回家流量打成「外连」，多写了公网段又会漏真正的横向探测。启用 Emerging Threats 等规则集并定期更新。EVE JSON 日志方便后续进分析栈，体积也要盯，按天轮转。

笔记里要诚实写局限：SPAN 可能丢包，别拿旁路 IDS 当计费级流量审计；交换机 CPU 高时镜像质量下降；重要告警交叉验证主机日志，避免只信网络侧。小主机 CPU 与网卡能力要匹配镜像带宽，千兆镜像打满时 Suricata 若跟不上，同样会静默丢检测。

第一周：只看，不判刑

规则全开的第一周，家庭环境误报会不少：设备发现、P2P、游戏、NAS 同步、打印机怪探针。实验纪律是：不立刻封 IP，只做分类。哪些是已知家用流量，哪些是真可疑外联，哪些是规则太宽。抑制已知无害规则，记录 SID 与原因，避免三个月后忘了为什么 suppress。

高优先级才推送手机；低优先级进日志，周末批量翻。原始 pcap 按需抓，别全存把自己盘打爆——镜像流量按线速乘时间，存储爆炸比攻击来得快。

告警怎么收敛成「可行动」

处理顺序实验下来比较顺的是：看五元组与时间 → 对照该时段家用设备是否在线 → 查主机日志或防火墙连接跟踪 → 决定 suppress、加白、或沉淀防火墙规则。加密流量大量存在，IDS 更多看到元数据和已知特征；TLS 里的内容你看不见，这不是配置失败，是现实。

有时最大的收获不是抓到外部攻击，而是发现某个服务不该对公网说话：调试端口忘关、容器端口映射过宽、旧设备仍在打电话回家。旁路 IDS 像多了一面镜子，照的是边界上实际流过什么。

和防火墙联动：人工确认，忌无脑封

IDS 告警经人工确认后，可沉淀为防火墙或 fail2ban 规则。不要自动无脑封大段 IP——家庭出口会变，CDN 节点共享，误伤很真实。联动实验我只做到「告警工单化」：同一源多次命中高危规则，再手动加临时 DROP 并设过期时间。永久规则需要更高证据。

实验结论与未做清单

旁路部署验证了：观察与控制分离，家用环境更稳；基线建立前谈自动封禁是噪音放大器。规则更新也要进实验节奏——ET 规则集升级后先观察二十四小时，再决定是否继承旧 suppress；新规则可能把上周刚消停的打印机又打成高危。

未做的：inline、完整 ELK 大屏、对外威胁情报自动封。那些等误报率降下来再说。局限写在笔记末尾：IDS 不能替代主机加固与备份；镜像丢包时保持谦虚；加密流量时代，元数据与已知恶意特征仍有价值，但别指望旁路盒子看穿每一个 HTTPS。观察清楚，再谈控制——这句话在家里比在机房标语上更受用。