TP01 - Préparation du laboratoire et installation de Suricata 8

Objectif : monter le laboratoire du cours (une sonde et un client sur un réseau isolé), installer Suricata 8 depuis le dépôt officiel de l’OISF et obtenir une première alerte sur un trafic de test inoffensif.

Prérequis :

• Un poste avec VirtualBox (ou un autre hyperviseur) et 6 Go de RAM disponibles.
• L’image ISO d’Ubuntu Server 24.04 LTS.
• Un accès Internet sortant pour les VM (téléchargement des paquets et des règles).

Rappel : tous les TP se déroulent dans ce laboratoire. Ne placez pas de sonde sur un réseau dont vous n’avez pas la responsabilité.

Actions à réaliser :

1. Créer le réseau du laboratoire. Dans VirtualBox, créez un « Réseau NAT » nommé LabSuricata avec le préfixe 10.0.2.0/24 et le DHCP activé. Les deux VM y seront connectées : elles se voient entre elles et accèdent à Internet.

2. Créer les deux machines virtuelles. sonde : Ubuntu Server 24.04, 2 vCPU, 4 Go de RAM, 20 Go de disque. client : n’importe quelle distribution Linux légère, 1 vCPU, 1 Go de RAM. Connectez-les au réseau LabSuricata, installez les systèmes puis mettez la sonde à jour :

   sudo apt update
   sudo apt full-upgrade -y

   Relevez le nom de l’interface et l’adresse IP de chaque VM (dans la suite : enp0s3, sonde en 10.0.2.10, client en 10.0.2.20 ; adaptez à vos valeurs) :

   ip addr

3. Installer Suricata depuis le PPA officiel.

   sudo apt-get install software-properties-common
   sudo add-apt-repository ppa:oisf/suricata-stable
   sudo apt update
   sudo apt install suricata jq

   Contrôlez la version installée et l’état du service :

   sudo suricata --build-info
   sudo systemctl status suricata

4. Déclarer l’interface surveillée. Ouvrez /etc/suricata/suricata.yaml, repérez la section af-packet et remplacez eth0 par votre interface :

   sudo nano /etc/suricata/suricata.yaml

   af-packet:
     - interface: enp0s3
       cluster-id: 99
       cluster-type: cluster_flow
       defrag: yes

5. Télécharger les règles, redémarrer et tester.

   sudo suricata-update
   sudo systemctl restart suricata
   sudo tail /var/log/suricata/suricata.log

   Dans un second terminal, suivez les alertes, puis générez le trafic de test depuis la sonde :

   sudo tail -f /var/log/suricata/fast.log
   curl http://testmynids.org/uid/index.html

Vérification / résultat attendu :

• suricata --build-info indique une version 8.0.x.
• suricata.log ne contient pas d’erreur et indique que les règles sont chargées.
• Une ligne contenant [1:2100498:…] GPL ATTACK_RESPONSE id check returned root apparaît dans fast.log quelques secondes après la commande curl. La page de test renvoie volontairement une chaîne qui ressemble au résultat de la commande id exécutée en root.

Pour aller plus loin : prenez un instantané (snapshot) des deux VM dans cet état. Vous pourrez y revenir si une manipulation ultérieure rend la sonde inutilisable.