Agir contre les intrusions

Name: Agir contre les intrusions
Author: Jerry Smith

Découvrez comment configurer des alertes de sécurité en cas d'attaque

Preview the first lesson free — get full access to all 4 lessons.

Cours : à la demande

Bonjour. Je m'appelle Jerry Smith. Dans cette leçon, nous allons découvrir les alertes Suricata. Très bien, jetons un coup d'œil à certaines des alertes. J'ai laissé l'instance Suricata s'exécuter pendant un moment, donc là devrait y en avoir. Bonnes informations là-dedans. Il se trouve que j'ai aussi un autre virtuel Machine exécutant Debian et Nmap que j'utilise pour générer des trafic qui déclenchera des alertes. Arrêtons-nous une seconde. Parlez de Nmap. Nmap est un outil open source pour l'exploration de réseaux. Cela signifie Network Mapper. C'est un outil principal et un. Du premier utilisé lors des tests d’intrusion. Et donc aussi pour les adversaires. Il peut être exécuté à partir d'une commande. Line ou la version GUI. Zenmap a les mêmes fonctionnalités. Les paramètres par défaut de téléchargement des alertes fonctionnent correctement, mais il existe une méthode qui formate Le fichier journal est un peu meilleur. Vérifions cela. Passons d’abord aux interfaces. Cliquez ensuite sur modifier. Sous Paramètres Wan. Faites défiler jusqu'aux paramètres de sortie Eve. Je l'ai déjà activé, mais vous sélectionnerez le journal Eve JSON. Et sois sûr Le type de sortie est défini sur fichier. Défiler vers le bas. Et appuyez sur Enregistrer. Un élément important dont vous aurez besoin. Pour redémarrer le service Suricata en cliquant sur la flèche courbe. Pour que le changement prenne effet, cliquez sur Interfaces. Cliquez sur cette flèche incurvée. Cela redémarrera l'instance. Voyons maintenant quelques alertes. Comme vous pouvez le constater, il y en a beaucoup. Quelques-uns à choisir. La plupart ne sont que du bruit provenant de mon réseau. Mais regardons chaque en-tête de colonne. Vous avez d’abord l’heure et la date. Ensuite, vous avez l'action. Actuellement, il est configuré pour alerter. La priorité sur celui-ci est trois. La priorité est définie par ordre croissant, donc. Le plus grave est un. Ensuite, vous avez le protocole et la classe ou le type de règle. IP source, port source, port de destination IP de destination, puis GID et Sid. Un Sid est un identifiant de signature. Chaque règle ou signature a un caractère unique. Identifiant appelé Sid. Un GID est un identifiant de groupe. Les signatures similaires sont regroupées logiquement. Et attribué un GID ou un ID de groupe. Et enfin, vous avez une description de la règle elle-même. Vous remarquerez également quelques icônes sur ces alertes. La loupe tente de résoudre le problème. Nom DNS de l'adresse IP. Le globe tente de donner une géolocalisation Adresse de l'IP. Comme vous pouvez le constater, celui-ci est À Boca Raton, en Floride. Vous remarquerez également divers signes plus tout au long de l’alerte. Si le signe plus est sous le IP source, cela supprimera l’alerte. S'il se déclenche avec cette adresse IP source, idem pour Destination. Si vous appuyez sur le signe plus sous Git et Sid, cela supprimera l'alerte complètement. Cliquons maintenant sur Logs, vue depuis Le menu du haut. À partir du fichier journal. Pour afficher, cliquez sur le menu déroulant et choisissez Eve JSON. Ci-dessous, vous pouvez voir le contenu du journal. De là, vous pouvez copier et coller. Dans le Bloc-notes ou une feuille de calcul à envoyer. À un analyste de sécurité pour une analyse plus approfondie. Ici, j'ai collé le fichier journal dans Une feuille de calcul et effectué un nettoyage mineur. Pour le rendre plus lisible. Vous pouvez également essayer ceci. Restez à l'écoute pour la prochaine leçon où Nous allons en apprendre davantage sur l'alerte par sniff. Merci d'avoir regardé. Au revoir.

Débutant Fournisseur : Jerry Smith 4 leçons · 15m en Arabe, Allemand, Anglais, Espagnol, Français, Portugais, Chinese

Description du cours

Pour assurer la meilleure sécurité réseau possible, il est important que vous analysiez les alertes générées par vos technologies IDS/IPS. Non seulement vous recherchez des menaces et des attaques actives, mais aussi des faux positifs, c'est pourquoi la création d'une liste d'autorisation est un élément essentiel de la sécurité de votre réseau. Bien que la plupart des mesures de sécurité se concentrent généralement sur l'utilisation d'ensembles de règles d'abonnement, il existe un besoin certain de règles personnalisées. Il y aura des situations où la menace d'une attaque est à la fois imminente et bien connue, mais la règle n'a pas été rendue publique.

Dans ce cours sur la lutte contre les intrusions, nous verrons comment vous pouvez configurer votre IDS et IPS pour produire des alertes lorsque vous êtes confronté à des menaces de sécurité. Nous allons vous expliquer comment configurer et trier les alertes générées à la fois par Snort et Suricata. Nous verrons également comment vous pouvez créer des règles personnalisées, des listes de blocage et des listes d'autorisation. À la fin de ce cours, vous serez en mesure de mieux répondre aux cybermenaces en temps réel.

Ce que vous allez apprendre

Trier les alertes IDS/IPS pour distinguer les vraies menaces et les attaques actives des faux positifs
Configurer Snort et Suricata pour produire des alertes face aux menaces de sécurité
Créer des listes d'autorisation (allow lists) et des listes de blocage (block lists) dans Snort et Suricata
Appliquer les meilleures pratiques pour la création de règles personnalisées
Répondre aux cybermenaces en temps réel en utilisant les technologies IDS/IPS

Points clés à retenir

L'analyse des alertes générées par les technologies IDS/IPS est importante pour garantir la meilleure sécurité réseau possible.
L'analyse des alertes ne recherche pas seulement les menaces et les attaques actives, mais aussi les faux positifs, c'est pourquoi la création d'une liste d'autorisation (allow list) est un élément essentiel de la sécurité du réseau.
Bien que la majorité de la sécurité se concentre généralement sur des jeux de règles par abonnement, il existe un réel besoin de règles personnalisées, surtout lorsqu'une attaque est imminente et bien connue mais que la règle n'a pas été rendue publique.
Le cours couvre la configuration et le triage des alertes générées par Snort et Suricata.
À la fin du cours, les apprenants seront mieux en mesure de répondre aux cybermenaces en temps réel.

Foire aux questions

Que m'apprendra ce cours sur les IDS et IPS ?

Il explique comment configurer votre IDS et IPS pour produire des alertes en cas de menaces de sécurité, ainsi que la manière de configurer et de trier les alertes générées par Snort et Suricata.

Ce cours aborde-t-il les règles et listes personnalisées ?

Oui. Il aborde la façon de créer des règles personnalisées, des listes de blocage (block lists) et des listes d'autorisation (allow lists), et explore les meilleures pratiques pour la création de règles personnalisées.

Sur quels outils le cours se concentre-t-il ?

Le cours se concentre sur Snort et Suricata, couvrant les systèmes d'alerte des deux, ainsi que les listes de blocage et d'autorisation.

Quelles compétences ce cours permet-il de développer ?

Il permet de développer des compétences en réponse aux cyberincidents, systèmes de détection d'intrusion (IDS), détection et prévention des intrusions, systèmes de prévention d'intrusion (IPS), Snort et détection des menaces.

Que serai-je capable de faire après avoir terminé ce cours ?

À la fin du cours, vous serez en mesure de mieux répondre aux cybermenaces en temps réel.