iwill 2015-06

주옥같은 타래글 덕분에 설치까지 왔습니다.  fast.log 에 찍히는 "***** invalid checksum " 이라고 반짝반짝 거리는 메세지는 suricata로 원격 접속시 발생하는데 ...뭐일까요?

/etc/suricata/rules 폴더의 decoder-events.rules 에서 체크섬에 주석 처리하면 fast.log 에 모든 체크섬 메세지가 사라지는데…이게 정상일까요?

stone92 2015-06

suricata공식문서에 따르면 invalid checksum 은 hardware가 tcp checksum offloding을 지원하는 경우
발생할 수 있다고 합니다.
따라서 두 가지 방법으로 alert을 없앨 수 있습니다.
한가지는 suricata환경설정 파일에서
checksum_validation: yes =>  no 로 변경해 주시면 됩니다.
물론 rule파일에서 주석처리해도 됩니다. 주석처리하셨다면 당연히 로그에 남지않습니다.

두번째로 하드웨어의 설정을 바꾸는 것인데 이것은 별로 권하고 싶지 않습니다.
checksum 을 OS 에서 처리하게 하는것인데 네트워크 컨트롤러에서 하는게 낫습니다
그래도 변경하시겠다면..
ethtool로 아래와 같이 변경해 주시면 됩니다.
ethtool --offload eth0 rx off tx off