TP06 - Analyse hors ligne de fichiers PCAP

Objectif : enregistrer une capture réseau, l’analyser hors ligne avec Suricata et obtenir les mêmes journaux qu’en temps réel, sans toucher à la sonde en production.

Prérequis :

• TP04 terminé (règles locales disponibles).
• Deux terminaux ouverts sur la sonde.

Actions à réaliser :

1. Installer tcpdump (souvent déjà présent sur Ubuntu Server) :

   sudo apt install tcpdump

2. Enregistrer une capture. Dans le premier terminal, lancez l’enregistrement sur l’interface du laboratoire :

   sudo tcpdump -i enp0s3 -w /tmp/lab.pcap

   Dans le second terminal, générez du trafic, puis arrêtez tcpdump avec Ctrl+C :

   curl -s -o /dev/null http://testmynids.org/uid/index.html
   curl -s -o /dev/null https://example.org

3. Analyser la capture. Créez un dossier de sortie dédié et lancez Suricata en mode lecture. L’option -l évite de mélanger ces résultats avec ceux du service ; -k none ignore les sommes de contrôle, souvent incorrectes dans une capture réalisée sur la machine émettrice :

   mkdir -p ~/analyse
   sudo suricata -c /etc/suricata/suricata.yaml -r /tmp/lab.pcap -l ~/analyse -k none

4. Lire les résultats.

   sudo cat ~/analyse/fast.log
   sudo jq -c 'select(.event_type=="alert") | {sid: .alert.signature_id, sig: .alert.signature}' ~/analyse/eve.json

5. Tester une règle sur la capture. Rejouez la même capture en ne chargeant que vos règles locales avec -S, dans un autre dossier :

   mkdir -p ~/analyse-local
   sudo suricata -c /etc/suricata/suricata.yaml -r /tmp/lab.pcap -l ~/analyse-local -k none -S /etc/suricata/rules/local.rules
   sudo cat ~/analyse-local/fast.log

Vérification / résultat attendu :

• ~/analyse/fast.log contient l’alerte 2100498 et les alertes LAB correspondant au trafic capturé.
• ~/analyse-local/fast.log ne contient que des alertes LAB : les règles ET Open n’ont pas été chargées.
• Le service Suricata a continué de fonctionner pendant toute l’analyse.

Pour aller plus loin : si l’option -r reçoit un dossier, Suricata traite tous les fichiers PCAP qu’il contient. Utilisez cette méthode comme banc d’essai : conservez quelques captures de référence et rejouez-les après chaque modification de règles pour détecter les régressions.