背景 在某个规则中需要在suricata中对部分IP和域名进行白名单过滤，减少告警噪音和落盘数据大小。 配置 suricata配置 在suricata.yaml添加如下配置,以启用lua规则检测功能 security: lua: allow-rules: yes 规则配置 新增如
场景使用suricata做网络入侵检测的告警，zeek做网络流量的深度分析接入到sensor的上下行分开的两路流量， 需要有两个网卡进行采集，但是这有出现了一个问题， zeek对两个网卡的上下行流量嗅探组包比较困难。 目前我使用的方式是网卡bond，通过将两张网卡组成一个bond，让zeek直接在b
