Formation Snort

Programme de notre formation Snort

[Jour 1 – Matin]

Architecture et installation de la sonde

• Positionnement des IDS et IPS dans une architecture de sécurité réseau
• Choix des points de capture, visibilité du trafic et limites liées au chiffrement
• Architecture de Snort 3 : acquisition, décodage, inspection, détection et journalisation
• Installation du moteur et de LibDAQ 3, vérification des dépendances et des modules disponibles
• Organisation du laboratoire isolé, droits de capture et commandes de diagnostic initial
• Atelier pratique : installer une sonde Snort 3 dans le laboratoire et vérifier la lecture d’une capture réseau fournie.

[Jour 1 – Après-midi]

Configuration et acquisition du trafic

• Structure de la configuration Lua et rôle des fichiers de configuration principaux
• Définition des variables HOME_NET et EXTERNAL_NET selon le périmètre surveillé
• Lecture des fichiers PCAP, écoute d’une interface et sélection du module d’acquisition
• Rôles des inspecteurs stream_tcp, wizard et binder dans le traitement des échanges
• Chargement des règles, validation de configuration et premières sorties alert_fast
• Atelier pratique : configurer une sonde passive, charger une règle fournie et comparer les alertes issues d’une capture et d’un trafic de test.

[Jour 2 – Matin]

Écriture et validation des règles

• Anatomie d’une règle Snort : en-tête, action, protocole, adresses, ports et direction
• Identification des signatures avec msg, sid, rev et classtype
• Recherche de motifs avec content et nocase, cadrage par offset et depth
• Prise en compte de l’état et du sens des communications avec flow
• Méthode de validation sur des jeux de trafic positifs et négatifs, gestion des identifiants locaux
• Atelier pratique : écrire des règles de détection sur des échanges ICMP et HTTP, puis vérifier les résultats attendus sur plusieurs captures.

[Jour 2 – Après-midi]

Inspection applicative et précision des signatures

• Règles de service HTTP et détection applicative sur des ports non standards
• Sélection des sticky buffers avec http_uri, http_header et file_data
• Combinaison de motifs avec distance et within, introduction aux expressions pcre
• Suivi d’un état de détection entre règles avec flowbits
• Choix d’un fast_pattern pertinent et réduction des faux positifs par contextualisation
• Atelier pratique : construire une signature HTTP contextualisée, vérifier sa détection sur un port alternatif et corriger les déclenchements sur du trafic légitime.

[Jour 3 – Matin]

Exploitation des alertes et intégration SOC

• Configuration des sorties alert_json et alert_syslog selon les besoins de supervision
• Qualification d’un événement à partir de la signature, des adresses, du service et du contexte réseau
• Rapprochement des alertes avec les captures réseau pour confirmer ou écarter une détection
• Détection de comportements répétés avec detection_filter et maîtrise du volume d’alertes avec event_filter
• Préparation de l’acheminement vers un SIEM, horodatage et traçabilité des décisions de qualification
• Atelier pratique : produire des alertes JSON, analyser un scénario fourni et ajuster les filtres en documentant les effets sur la visibilité.

[Jour 3 – Après-midi]

Prévention et maintien en conditions opérationnelles

• Passage du mode passif au mode inline avec DAQ AFPacket et deux interfaces dédiées
• Différences entre les actions alert, drop et reject, validation du blocage effectif
• Déploiement progressif des politiques IPS, tests de non-régression et procédure de retour arrière
• Suivi du débit, des pertes de paquets, de la consommation mémoire et de la charge processeur
• Cycle de vie des règles communautaires et locales : sélection, mise à jour, versionnement et validation
• Atelier pratique : bloquer un trafic de test dans le réseau isolé, vérifier le maintien des échanges légitimes et établir une procédure de mise en production.