TP02 - Configuration de suricata.yaml et capture AF_PACKET

Objectif : adapter suricata.yaml au réseau du laboratoire, valider la configuration avant chaque redémarrage et vérifier que la sonde capture le trafic sans perte.

Prérequis :

• TP01 terminé : Suricata installé et fonctionnel sur la sonde.
• Adresse du réseau de laboratoire connue (10.0.2.0/24 dans ce TP).

Actions à réaliser :

1. Sauvegarder la configuration d’origine.

   sudo cp /etc/suricata/suricata.yaml /etc/suricata/suricata.yaml.orig

2. Restreindre HOME_NET au réseau protégé. Dans la section vars, remplacez la valeur par défaut (les trois plages RFC 1918) par le réseau du laboratoire :

   vars:
     address-groups:
       HOME_NET: "[10.0.2.0/24]"
       EXTERNAL_NET: "!$HOME_NET"

3. Activer l’identifiant de flux Community ID. Il ajoute à chaque événement un champ community_id calculé de la même manière par d’autres outils réseau, ce qui facilite les corrélations. Dans la section eve-log de outputs, passez la clé à true :

   community-id: true

4. Valider puis appliquer. Testez la configuration et les règles, puis redémarrez le service seulement si le test réussit :

   sudo suricata -T -c /etc/suricata/suricata.yaml -v
   sudo systemctl restart suricata
   sudo tail -n 20 /var/log/suricata/suricata.log

   Pour vérifier la valeur réellement chargée d’une option, affichez la configuration interprétée :

   sudo suricata --dump-config -c /etc/suricata/suricata.yaml | grep -i home_net

5. Contrôler la capture. Les événements stats du journal EVE indiquent le nombre de paquets reçus par le noyau. Lancez la commande, générez du trafic (navigation avec curl, ping depuis le client vers la sonde) et observez la progression :

   sudo tail -f /var/log/suricata/eve.json | jq 'select(.event_type=="stats")|.stats.capture.kernel_packets'

   Affichez aussi les compteurs de pertes dans le fichier de statistiques :

   sudo grep -E "capture.kernel_(packets|drops)" /var/log/suricata/stats.log | tail -n 4

Vérification / résultat attendu :

• Le test -T se termine par un message de configuration chargée avec succès, sans erreur.
• --dump-config affiche [10.0.2.0/24] pour HOME_NET.
• Le compteur kernel_packets augmente quand vous générez du trafic ; kernel_drops reste à 0 (ou est absent) dans le laboratoire.
• Les événements de eve.json contiennent un champ community_id.

Pour aller plus loin : introduisez volontairement une erreur d’indentation dans suricata.yaml et relancez le test -T pour apprendre à lire le message d’erreur, puis restaurez le fichier à partir de la copie .orig ou de votre version corrigée.