ITFabricLab ouvre bientôt : les labs, simulations et examens ne sont pas encore accessibles. Vous pouvez parcourir le catalogue et créer votre compte pour être prévenu de l'ouverture.
ITFabricLab — Learn. Build. Troubleshoot. Connect.
Se connecter

IPS Suricata : règles locales et analyse d'alertes

Senior LinuxIPS / IDS périmétrique40 min80 XP

La sonde Suricata (ids01) est en mode IPS en coupure. Ajoutez des règles locales et analysez les alertes de la nuit.

Exigences

  • /etc/suricata/rules/local.rules contenant :
    • une règle drop pour Telnet entrant : drop tcp any any -> $HOME_NET 23 avec msg:"LOCAL Telnet interdit" et sid:1000001
    • une règle alert HTTP détectant union select (insensible à la casse, nocase) avec sid:1000002
  • Ajouter local.rules dans rule-files de /etc/suricata/suricata.yaml
  • Tester la configuration (suricata -T -c /etc/suricata/suricata.yaml) puis redémarrer le service

Analyse de /var/log/suricata/fast.log :

  • Signature la plus fréquente → answer signature <sid>
  • Adresse source de l'alerte ET EXPLOIT → answer attaquant <ip>

Bientôt disponible

Les exercices pratiques ouvrent prochainement. Le titre, le résumé et le plan restent visibles pour découvrir le contenu.

Créer mon compteSe connecter

Tâches

  1. Règles locales écrites
  2. local.rules chargé et configuration testée
  3. Signature la plus fréquente
  4. Source de la tentative d'exploitation