Utiliser Suricata avec prelude

[zargos]

Bonjour,
J'utilise prelude pour le regroupement de mes logs.
j'ai remarqué que suricata sur OPNsense n'était pas compilé avec libprelude, et de plus que prelude n'est pas dans les packages.

est-ce lié au fait que prelude serait non-free?

De fait, je suis obligé d'utiliser le remote log server, puis sur ce remote server de recupérer les logs envoyés par OPNsense avec prelude-lml. et là je bloque sur la configuration de prelude-lml pour suricata, comment paramétrer le format.

[ProServ]

Je pense que ta conf est trop compliquée pour les utilisateurs de la partie francophone.
Peut-être poser la question sur la partie EN du forum.

[zargos]

MAl expliquée plutot
Je veux renvoyer les alertes suricata vers Prelude.
C'est une fonctyionnalité qui est comprise dans suricata a condition que ce soit compilé avec. Hors le package OPNsense n'est pas compilé avec libprelude.

Donc je voulais savoir si c'était lié au fait que Prelude est (à priori) non-free,  et si c'était possible de compile prelude sur OPNsense?

Sinon je crois que je vais finir par virer OPNsense car il y a trop de chose qui ne convienne pas (notamment sur les reporting pas terribles).

[ProServ]

les reporting pas terribles

Je suis d'accord avec toi sur ce point.
Par contre à part passer à une solution propriétaire comme Fortinet, Stormshield, etc... qui goute un bras... pas sûr que tu trouve autre chose de mieux.

[zargos]

En fait, l'interface web ne m'important pas vraiment, une debian buster m'ira parfaitement.
il y a moyen de durcir le système et toutes les fonctionnalités dont j'ai besoin s'y trouve, voir même en mieux en ce qui concerne le DNS et le DHCP(v4 et v6) par exemple.
Et concernant l'IDS je pourrait avoir plus de choix/options. Suricata ne m'emballe pas vraiment, je pense plutot aller vers du prelude et snort, voir OSSC mais trop gros pour mon utilisation.

Quand au parefeu, shorewall suffira largement à mes besoins, quitte éventuellement à passer sinon par ufw.

HAproxy pas de soucis avec.

squid idem

bref.. faut que j'étudie la chose. j'ai déjà la Debian avec un système durci.

[ProServ]

D"accord avec toi... C'est d'ailleurs ce sur quoi se base les solutions OpenSource comme pfSense/OPNSense.
Ils sont sur une distri Linux avec des librairies et des logiciels entier.

La seule différence, c'est qu'avec pfSense/OPNSense, tu es contraint d'utiliser les systèmes qu'ils ont choisis... même si avec les plugins tu peux en avoir d'autre, voir développer ton propre plugin.

Mais l'avantage étant l'interface d'administration bien plus friendly que de tout faire en code.
D'où ses nombreux utilisateurs... même les pro l'utilisent pour bypasser les solutions propriétaires afin d'être plus libre et engendrer moins de frais.

Perso j'ai configuré quelques solutions propriétaires à plus de 2000€ (Forti, NetASQ, SonicWall, ...), c'est bien, stable, propre, bien mieux que les solutions OpenSource, mais quand tu vois qu'il faut payer une licence annuelle à un prix "exagéré" pour les MAJ/Support, le coût final en 5 ans monte très très vite, surtout avec le coût initial du boitier.

Idem pour les solutions de virtualisation comme VMWare vs Proxmox
Ou encore la supervision Zabbix vs ... une panoplie

Le tout est de choisir la solution adéquate suivant l’ampleur du projet/budget.
Une société à 5000 users n'utilisera pas OPNSense, même si en soit, il en est capable.

[zargos]

En fait c'est pour chez moi. Donc je vais surement m'appuyer sur Webmin pour certaines applications, pour le reporting j'aurais celle qui est la plus adaptée pour chaque application, le tout mis en menu avec un petit frontal (et encore).

il faut encore que je précise les choses.
mais je suis tpout à fait d'accord avec toi concernant les solutions propriétaires (en particulier fortinet et sonicwall pour ce qui me concerne, celle que cje connais). le seul outil propriétaire qui me semble avec du mérite à être payant, c'est Checkpoint, mais on est plus du tout dans la même cours.

effectivement une entreprise de 5000 personnes avec du PNsense ou du Pfsense, c'est peut etre un peu juste, les deux outils ne sont pas non plus conçus pour.

[ProServ]

Lol chez moi c'est Box Internet, WiFi de la box...
J'en ai déjà trop à faire au boulot que je ne veux plus en voir quand je rentre chez moi (change de pièce  ).
Et pourtant mon réseau d'entreprise est chez moi, mais pour le perso c'est open.
A une époque j'étais comme ça. Ça a bien changé avec les années et les obligations familiales.

[zargos]

lol même en obligation familiales
la box orange ne permettait pas de pouvoir le minimum dont j'ai besoin et son wifi etait de la m... meme à deux mètres