Modos de operación y puntos de colocación

Suricata puede trabajar de tres maneras. Como detector pasivo, recibe una copia del tráfico —de un puerto espejo o de una derivación— y solo avisa. Como prevención en línea, el tráfico pasa por el motor y este puede retener paquetes: en la sección af-packet de suricata.yaml eso se expresa con copy-mode: ips y una interfaz de salida en copy-iface. Y en lectura de archivo, el motor lee una captura ya guardada, sin red de por medio.

Una regla puede declarar la acción drop, pero una acción solo tiene efecto si el sensor está en el camino del paquete. En eve.json, cada alerta guarda en alert.action si el tráfico fue allowed (siguió su camino) o blocked (se retuvo).

La configuración dice mucho del modo. Un sensor en línea necesita dos interfaces —por una entra el tráfico y por la otra sale— y copy-mode: ips apunta a la de salida. Un sensor pasivo no tiene interfaz de salida: solo escucha.

Consulta sensores y mira las columnas copy_mode y copy_iface.

Comparar la acción escrita en la regla con la acción registrada es el control más barato de un despliegue. Si una regla dice drop y todos sus eventos dicen allowed, el equipo cree que esa amenaza se corta y en realidad solo se observa.

Consulta reglas_por_sensor y cruza las dos columnas de acción en cada sensor.

Dónde se coloca el sensor decide qué direcciones ve. Un sensor entre Internet y el cortafuegos ve el tráfico después de la traducción: todos los usuarios aparecen con la misma dirección pública, y una alerta no dice qué equipo la causó. Un sensor detrás del cortafuegos ve las direcciones internas y permite señalar al equipo.

Consulta sensores y lee la última columna.

Antes de poner una regla nueva en un sensor, el oficio es probarla contra tráfico que ya existe. El modo de lectura de archivo toma una captura guardada y la procesa como si fuera tráfico vivo, sin interfaz de red, sin riesgo de cortar nada y con el mismo resultado cada vez. Es el modo para ensayar reglas, repetir un caso y comparar dos versiones de un conjunto con la misma evidencia.