TP03 - Gestion des règles avec suricata-update

Objectif : maîtriser suricata-update pour ajouter une source de règles, désactiver une règle gênante et recharger les règles sans redémarrer la sonde.

Prérequis :

• TP02 terminé : configuration validée, service actif.
• Deux terminaux ouverts sur la sonde.

Actions à réaliser :

1. Explorer les sources disponibles. Mettez à jour l’index des sources, listez-les et affichez celles qui sont actives (aucune en dehors d’ET Open, utilisé par défaut) :

   sudo suricata-update update-sources
   sudo suricata-update list-sources
   sudo suricata-update list-enabled-sources

2. Activer une source supplémentaire. La source oisf/trafficid, publiée par l’OISF, identifie des applications courantes. Activez-la puis régénérez le fichier de règles :

   sudo suricata-update enable-source oisf/trafficid
   sudo suricata-update

3. Mesurer le jeu de règles. Comptez les règles actives dans le fichier fusionné :

   grep -c "^alert" /var/lib/suricata/rules/suricata.rules

4. Désactiver une règle. Ajoutez le sid de la règle déclenchée au TP01 (2100498) dans disable.conf, puis relancez la génération :

   echo "2100498" | sudo tee -a /etc/suricata/disable.conf
   sudo suricata-update

   La sortie de suricata-update indique le nombre de règles désactivées.

5. Recharger les règles à chaud. Utilisez la socket de commande du service, puis vérifiez dans le journal du moteur que le rechargement s’est bien déroulé :

   sudo suricatasc -c reload-rules
   sudo tail -n 5 /var/log/suricata/suricata.log

6. Contrôler l’effet, puis revenir en arrière. Relancez le trafic de test : aucune nouvelle alerte 2100498 ne doit apparaître. Supprimez ensuite la ligne de disable.conf, régénérez et rechargez :

   curl http://testmynids.org/uid/index.html
   sudo tail -n 3 /var/log/suricata/fast.log
   sudo sed -i '/^2100498$/d' /etc/suricata/disable.conf
   sudo suricata-update
   sudo suricatasc -c reload-rules

Vérification / résultat attendu :

• list-enabled-sources affiche oisf/trafficid.
• Pendant la désactivation, le test ne produit plus d’alerte 2100498 ; après réactivation, l’alerte réapparaît.
• Aucun redémarrage du service n’a été nécessaire.

Pour aller plus loin : planifiez une mise à jour quotidienne (timer systemd ou tâche cron) qui enchaîne suricata-update, le test suricata -T et le rechargement, et qui n’effectue le rechargement que si le test réussit. Essayez aussi les autres syntaxes de disable.conf : group: pour un fichier de règles d’origine et re: pour une expression régulière.