Conjuntos de reglas y su actualización

La herramienta suricata-update descarga las fuentes habilitadas —por defecto, el conjunto público Emerging Threats Open—, aplica los ajustes locales y escribe el resultado en un único archivo, suricata.rules, en /var/lib/suricata/rules/. Ese archivo se vuelve a escribir en cada ejecución.

Los ajustes propios van en archivos aparte: disable.conf para deshabilitar reglas, enable.conf para habilitar las que vienen apagadas. En disable.conf una línea puede apuntar a un sid, a un archivo de reglas completo (group:) o a todas las reglas que contengan una cadena (re:).

Una línea de disable.conf con un sid apaga una regla; una con group: apaga todas las reglas de un archivo, y una con re: apaga todas las que coincidan con la cadena. Las dos últimas son cómodas y peligrosas: dejan sin vigilancia a decenas o cientos de reglas con un solo renglón, y casi nunca con la misma justificación que tendría una regla sola.

Consulta disable_conf y mira la columna reglas_que_apaga.

Que la actualización termine bien no basta: el motor evalúa las reglas que cargó al arrancar o al recargar. Si el archivo nuevo está en disco pero el motor no se recargó, el sensor sigue vigilando con el conjunto anterior, y el registro de la actualización dice «correcto».

Consulta el registro_de_actualizacion y mira las dos últimas columnas.

La política de la empresa pide una actualización cada 7 días, con recarga al terminar. Lo que cuenta para la defensa no es cuándo corrió la herramienta sino desde cuándo el motor usa reglas nuevas: la última fila con la recarga en «sí».

Cuenta los días entre esa última recarga y la fecha del informe, que está en informe.

Una actualización trae reglas nuevas, quita las retiradas y cambia la revisión de otras. Las nuevas entran con la acción y el estado que trae la fuente, sin que nadie las haya probado contra el tráfico de la empresa. El resultado práctico es que, tras una actualización, el volumen de alertas puede cambiar de un día para otro, y la comparación entre antes y después es la primera lectura que debe hacerse.