sudo systemctl restart suricata
sudo systemctl status suricata

最初は次の順番で導入します。

alert
  ↓
ログと誤検知を確認
  ↓
特定IOCだけdrop
  ↓
挙動検知ルールを追加

Suricataのthresholdはアラート量を制御できますが、IPSのdropやrejectはしきい値に関係なく各パケットへ適用されます。「thresholdを付けたから指定回数までは遮断されない」と誤解しないよう注意が必要です。

IOCが増えた場合は、ルールへ直接追加するのではなくSuricataのDataset機能を利用すると管理しやすくなります。Datasetではドメインやサブドメインを外部リストとして読み込ませることができます。

Windows EDRの推奨設定

1. Microsoft Defender ASRルール

JadeProx対策として優先度が高いASRルールは次のとおりです。