Suricata 7条件式PCAP两类问题咨询：TCP流记录与标签规则报错

问题1：Alert模式下获取触发规则对应完整TCP流数据包 #

默认情况下，Suricata的alert动作仅记录触发规则的单个数据包。要捕获完整TCP流，可通过以下两种方式实现：

• 方法1：在规则中使用full动作
  在自定义规则里添加full关键字，触发规则时会自动记录整个TCP流的所有数据包。示例规则：

  alert tcp any any -> any any (msg:"Detect and log full TCP flow"; flow:established; full; sid:1000001; rev:1;)
  

  其中flow:established确保只追踪已建立的TCP连接，避免捕获握手阶段的零散包。

• 方法2：配置EVE日志记录指定标签的流

  1. 修改suricata.yaml，启用EVE日志的流记录模块，并指定要追踪的标签：

     outputs:
       - eve-log:
           enabled: yes
           filename: eve.json
           types:
             - alert:
                 enabled: yes
             - flow:
                 enabled: yes
                 tag: tracked_flow  # 仅记录带有该标签的流
     

  2. 在触发规则中添加对应标签：

     alert tcp any any -> any any (msg:"Track this flow"; tag:tracked_flow; sid:1000002; rev:1;)
     

  重启Suricata后，触发规则的TCP流会完整记录到eve.json的flow字段中。

问题2：Tag模式下自定义规则添加标签后重启报语法错误 #

常见原因及解决办法：

• 标签格式不符合规范
  Suricata标签仅支持字母、数字、下划线、连字符，且首字符必须为字母或下划线。例如tag:123_flow;会报错，应改为tag:flow_123;。

• 规则选项遗漏分号
  每个规则选项必须以分号结尾，比如tag:my_tag缺少分号会触发语法错误，正确写法是tag:my_tag;。

• 规则选项顺序或配置错误
  用Suricata自带的语法检测工具定位问题：

  suricata -T -c suricata.yaml -r sample.pcap
  

  命令会输出具体的错误行号和原因，比如某条规则的标签位置错误、关键字拼写错误等。

• 配置文件中标签动作格式错误
  如果在suricata.yaml中定义了tag-actions，需确保YAML格式正确（缩进、冒号不能错），示例正确配置：

  tag-actions:
    - tag: critical_alert
      action: log
  

内容的提问来源于stack exchange，提问作者The dream of salt fish