zurück # Suricata + EveBox + GeoIP: Einrichtung im Docker-Setup

Diese Dokumentation beschreibt die vollständige Einrichtung von Suricata, EveBox und GeoIP2 in einer Docker-basierten Umgebung – inklusive automatischer GeoIP-Aktualisierung und Logrotation.

Stand: 2025-07-08

—

## 🔧 Verzeichnisstruktur

Alle relevanten Dateien befinden sich in:

- `/opt/docker/suricata` - Konfiguration: `/opt/docker/suricata/config/suricata.yaml` - GeoIP-Daten: `/usr/share/GeoIP/*.mmdb` (im Container) - Log-Datei: `/var/log/geoipupdate.log`

—

## 🐳 Docker Compose Setup

Container für Suricata und EveBox via Docker Compose:

docker-compose.yml (gekürzt & anonymisiert): ```yaml services:

suricata:
  image: jasonish/suricata:latest
  volumes:
    - ./config:/etc/suricata
    - ./geoip:/usr/share/GeoIP:ro
  networks:
    - docker_backend
  command: -i eth0

evebox:
  image: jasonish/evebox:latest
  ports:
    - "5636:5636"
  volumes:
    - ./evebox-data:/var/lib/evebox
  networks:
    - docker_backend

```

—

## 📦 GeoIP-Daten aktualisieren

GeoIP-Daten (GeoLite2-*.mmdb) wurden manuell heruntergeladen und in das Volume `/opt/docker/suricata/geoip` gelegt.

Suricata erwartet standardmäßig:

```yaml geoip-database: /usr/share/GeoIP/GeoLite2-Country.mmdb ```

Container-Check: ```bash docker exec -it suricata bash suricata –build-info | grep -i geoip ls -l /usr/share/GeoIP/*.mmdb ```

—

## 🔁 Cronjob zur GeoIP-Aktualisierung

Skript: `/usr/local/bin/update-geoip.sh` ```bash #!/bin/bash LOGFILE=„/var/log/geoipupdate.log“ DATABASE_DIR=„/opt/docker/suricata/geoip“

mkdir -p „$DATABASE_DIR“ cd „$DATABASE_DIR“

wget -q -O GeoLite2-Country.mmdb „https://example.com/GeoLite2-Country.mmdb“ wget -q -O GeoLite2-City.mmdb „https://example.com/GeoLite2-City.mmdb“ wget -q -O GeoLite2-ASN.mmdb „https://example.com/GeoLite2-ASN.mmdb“

chown root:root GeoLite2-*.mmdb chmod 644 GeoLite2-*.mmdb

echo „$(date): GeoIP update complete." >> "$LOGFILE“ ```

Cronjob aktivieren: ```bash sudo crontab -e ```

Eintragen: ``` 0 3 * * * /usr/local/bin/update-geoip.sh ```

—

## 📁 Logrotate für GeoIP-Logs

/etc/logrotate.d/geoipupdate: ```conf /var/log/geoipupdate.log {

  weekly
  rotate 4
  compress
  missingok
  notifempty
  create 644 root root

} ```

Test: ```bash logrotate –debug /etc/logrotate.d/geoipupdate logrotate -f /etc/logrotate.d/geoipupdate ```

—

## 📊 EveBox Web Interface

EveBox Web-UI erreichbar unter:

``` https://<deine-domain>:5636 ```

⚠️ Hinweis: Die Meldung `Failed to open GeoIP` verschwindet nach korrektem Mount und Neustart.

—

## 🧩 To-Do (optional)

- TLS für EveBox über Reverse Proxy - GeoLite2-API-Key Integration ins Update-Skript - Visualisierung z. B. mit Metabase oder Grafana