PRACTICE MATERIAL
suricata · 실습·개념 참고 화면 1
문서 문맥에 삽입된 원본 실습·개념 참고 화면이다. Suricata와 EVE JSON 이벤트 학습 내용과 함께 당시 구성·설정·관찰 결과를 비교할 수 있다.
CONCEPT → PRACTICE → VERIFICATION
Suricata 실행 전에 NIC의 큐·링·드라이버 읽기
채널 수와 수신 링 용량을 구분하고 패킷 손실 진단의 기준선을 만든다.
- 드라이버가 제공하는 기능을 확인한다ethtool -i는 드라이버와 기능 정보를 보여 준다. 게스트에서 보이는 가상 NIC의 기능과 물리 호스트 NIC의 기능을 혼동하지 않는다.
- 채널 수와 링 크기를 나누어 읽는다ethtool -l의 Combined는 채널 수이며 ethtool -g의 RX는 링 파라미터다. 숫자 4와 1024를 같은 단위의 처리량으로 비교하지 않는다.
- 손실 지점을 센서 파이프라인과 연결한다NIC 드롭이 늘면 캡처 이전 손실을 의심하고, Suricata 캡처·해석 통계와 함께 비교한다. EVE 경보 수가 적다는 것만으로 트래픽이 적거나 안전하다고 판단하지 않는다.
