TP a rendre : Configuration Snort
Objectif : Mettre en œuvre et configurer Snort pour détecter des activités suspectes sur un
réseau simulé.
Matériel nécessaire :
• Un ordinateur avec une distribution Linux (Ubuntu de préférence).
• Accès à internet pour télécharger Snort et ses configurations.
Tâches :
1. Installation de Snort
• Installer Snort sur votre système Linux.
• Configurer Snort en mode IDS.
2. Configuration des règles de détection
• Créer des règles de base pour détecter des scans de ports et des tentatives d'accès à des
URL suspectes.
3. Simulation d'attaque et test
• Utiliser un autre ordinateur ou une VM pour générer du trafic réseau qui déclenchera
les règles configurées (par exemple, un scan de ports avec nmap).
4. Analyse des alertes
• Examiner les alertes générées par Snort et discuter de leur pertinence.
• Proposer des améliorations ou des ajustements aux règles pour réduire les faux
positifs.
Solution du TP
1. Installation de Snort
bash
sudo apt update sudo apt install snort
Lors de l'installation, Snort demandera l'interface réseau à surveiller et un réseau de détection.
Vous pouvez spécifier l'interface connectée à votre réseau (par exemple, eth0) et un réseau
(par exemple, [Link]/24).
2. Configuration des règles de détection
Créez un fichier de règles dans /etc/snort/rules/[Link] et ajoutez les règles suivantes :
text
alert tcp any any -> $HOME_NET 80 (msg:"Tentative d'accès à URL suspecte";
content:"malicious"; sid:1000001;) alert icmp any any -> $HOME_NET any (msg:"Scan
ICMP détecté"; itype:8; sid:1000002;)
Ces règles déclencheront une alerte pour toute requête TCP contenant le mot "malicious" vers
le port 80, ainsi que pour les pings ICMP qui peuvent indiquer un scan.
3. Simulation d'attaque et test
Sur un autre ordinateur ou VM, exécutez :
bash
nmap -sP [Link]/24 # Remplacer par l'adresse du réseau surveillé curl
[Link] # Remplacer x par l'adresse du serveur
4. Analyse des alertes
Vérifiez les alertes générées par Snort en consultant le fichier de log /var/log/snort/alert.
Discussion : Les alertes doivent être vérifiées pour leur pertinence. Les règles peuvent être
ajustées pour être plus spécifiques en ajoutant des conditions supplémentaires, comme des
plages d'adresses IP ou des horaires spécifiques pour réduire les faux positifs.
Ce TP permet de comprendre comment configurer et utiliser un IDS comme Snort pour
surveiller la sécurité d'un réseau. Il offre également l'opportunité de pratiquer l'analyse de la
sécurité réseau et la réponse aux incidents.