ここで大切なのが、Zeekとの「役割の違いと補完関係」です。Zeekは「悪いと決めつけず、まず通信を“記録”に変える」——いわば記録と振る舞い分析の達人。対してSuricataは「既知の“悪のパターン”に一致したら、その場で警報・遮断する」——シグネチャによる即応の達人です。どちらが上ということはなく、両方を一緒に動かすのが現代のネットワーク監視（NSM）の王道。実際、学習用ディストロSecurity Onionにも、ZeekとSuricataは“セット”で同梱されています。

もう一つ知っておきたいのが、Suricataが「検知の3兄弟」の一角だということです。“悪の特徴をルールで表現して照合する”という発想は、対象を変えて各所で使われています。通信はSuricata、ログはSigma、ファイルはYARA——この3つを押さえると、ネットワーク・ログ・ファイルの3面から“既知の悪”を捕まえる網が完成します。それぞれ文法は違いますが、根っこの考え方は同じ。1つ学べば、ほかの理解もぐっと速くなります。

Suricataのルール（シグネチャ）は、見た目こそ記号が多めですが、構造は3つのかたまりに分かれているだけです。①action（どうする）、②header（どの通信を）、③options（何を見て・どう記録する）。この順に読めば、どんなルールもほどけます。

headerに出てくる $HOME_NET（自組織のネットワーク）や $EXTERNAL_NET（外部）は、設定で定義する変数です。「内側から外側へ向かう通信だけを見る」といった指定が、これで簡潔に書けます。実際の1本を見てみましょう。下は「内部から外部へ、怪しいUser-Agentでの通信＝C2の連絡（ビーコン）の疑い」を検知する、教育用のルールです。

▲ alert（action）＋http $HOME_NET any -> $EXTERNAL_NET any（header）＋カッコ内（options）。metadataでMITRE ATT&CKのC2戦術（TA0011）に紐づけています。sidは自作ルール用に100万番以降を使う慣習があります。

options内の sid（Signature ID）と rev（リビジョン）は、ルールの“背番号と版番号”。これがあるから、アラートを見たとき「どのルールが、なぜ光ったか」を追跡でき、ルールを更新・管理できます。classtype はアラートの種類（例：trojan-activity）、reference は根拠資料へのリンク。メタ情報をきちんと書くことが、後で“育てられる”ルールの条件です。

options の主役は、通信の中身を探す content です。content:"..." で文字列やバイト列を指定し、見つかれば一致。複数の content を並べれば、すべてを満たす（AND）条件になります。これに修飾子と、後述のスティッキーバッファを組み合わせるのが、Suricataの表現力です。

スティッキーバッファは、Suricataを使いこなす鍵です。たとえば http.uri; content:"/gate.php"; と書けば、HTTPのURI部分にだけ「/gate.php」を探します。通信全体をやみくもに探すより、狙った場所をピンポイントで見るほうが、速くて誤検知も少ない。下は「特定のURIパターン＋怪しいリクエスト」を、向きと状態で絞って検知する例です。

▲ http.method; content:"GET"; と http.uri; content:"/gate.php"; で“場所”を限定し、pcre で“揺れ”を表現。pcre を使いこなすには正規表現の基礎が効いてきます。

ここで性能の話を少しだけ。Suricataは内部で、各ルールの中から最も“珍しくて手がかりになる”パターンを選び、それを高速検索（fast_pattern）の足がかりにしています。だから content には、短すぎる・ありふれた文字列より、長くて特徴的な文字列を1つは入れるのがコツ。これはYARAで“固い手がかりを1つ含める”話と同じ発想です。何Gbpsもの通信をさばくとき、この差が効いてきます。

Suricataには、大きく2つの動かし方があります。IDS（侵入検知）は、通信の“複製”を受け取って見張るだけ——怪しければアラートを上げますが、通信そのものには手を出しません。IPS（侵入防御）は、通信の“通り道そのもの”に割り込み（インライン）、危険な通信をその場で破棄（ブロック）できます。強力ですが、その分リスクも伴います。

どちらで始めるべきか。答えははっきりしていて、まずはIDS（見張るだけ）からです。IDSは通信に影響しないので、誤検知が出ても“余計なアラートが増える”だけで済みます。ここでルールを十分にチューニングし、「このルールは確実に悪だけを捕まえる」と自信が持てたものを、少しずつIPS（遮断）に昇格させていく。いきなり全ルールでブロックを始めるのは、事故のもとです。

設置場所の考え方は、IDSならZeekやWiresharkと同じ。スイッチのSPAN（ミラー）ポートやTAPから通信の複製を受け取り、インターネットとの境界に置きます。下は、3つの動かし方をそのままコマンドにしたものです。

▲ -r＝pcap、-i＝受動監視（IDS）、-q＝NFQUEUE（IPS/インライン）。同じSuricataが、フラグひとつで“見張る”にも“止める”にもなります。

「何千ものルールを自分で書くのか…」と身構える必要はありません。世界には、研究者やコミュニティが公開する高品質なルールセットがあります。代表がEmerging Threats（ET Open）——無料で使えるオープンなルール集で、新しい脅威が観測されるたびに更新されます（有償のET Proや、Snort/Talosのルールもあります）。これらを取り込めば、翌日にはあなたの環境でも世界水準の検知が動きます。管理ツールが suricata-update です。

▲ Suricataの出力 eve.json（EVE形式のJSONログ）には、アラートだけでなく http・dns・tls・flow・fileinfo など豊富な記録が入ります。JSONなのでSIEMや jq と相性抜群です。

ただし、ルールを取り込んだだけでは“運用”になりません。どんな優秀なルールセットも、自組織の正常な業務に対しては誤検知（フォールスポジティブ）を出します。ここからが検知エンジニアの腕の見せどころ。3ステップで“育て”ます。

もう一つ、Suricataの“育て方”で覚えておきたいのがファイル抽出です。通信の中を流れたファイルを取り出し、そのハッシュ（MD5）を記録できます。これを脅威インテリジェンスのハッシュリストと照合すれば、運ばれたマルウェアを名指しで捕捉できます。さらに抽出したファイルをYARAにかければ、“通信→ファイル”と検知が一本につながります。

Suricataのアラートは、それ単体では“点”にすぎません。「なぜ光ったのか」「その前後で何が起きたのか」を知るには、記録の達人Zeekのログや、エンドポイントの情報と突き合わせる必要があります。Suricata（アラート）とZeek（記録）を両輪に、SIEMへ集約してハントする——これが現代のネットワーク監視（NSM）の流れです。

ここで全体像を一枚にまとめましょう。Suricataは、検知の3兄弟（通信＝Suricata／ログ＝Sigma／ファイル＝YARA）の“通信担当”であり、Zeekと組んでネットワークの“警報”と“記録”を担います。1つのアラートは“答え”ではなく“調査の入口”——そこから記録をたどり、端末を調べ、対応へつなぐ。この“つなぐ力”こそが、ツールを“守り”に変えます。

ここまでに登場した言葉の“答え合わせ”として、用語集とFAQをまとめました。Suricataは奥が深い分野ですが、入口はこの記事の範囲で十分です。あとは安全な環境で手を動かしながら、少しずつ守備範囲を広げていきましょう。最初のアラートを自分の目で読み解けたとき、ネットワークの守りが“自分ごと”になります。

📖 用語集

❓ よくある質問（FAQ）

🧭 次に読む