Différences

Ci-dessous, les différences entre deux révisions de la page.

--- snort [2023/12/04 10:17] – [Lecture des logs] admin
+++ snort [2026/04/08 07:41] (Version actuelle) – timothee.vu
@@ Ligne 43: / Ligne 43: @@
 ==== Configuration pour un switch Cisco ====
-Le mirroring de port(s) sur Cisco passe par des **//sessions//** qui prennent une ou plusieurs **//sources//** vers une **//destination//**
+Le mirroring de port(s) sur Cisco passe par des **//sessions//** qui prennent une ou plusieurs **//sources//** vers une **//destination//**.
-La **//source//** peut être un **//port//**, une **//plage de ports//** ou un **//vlan//**.
+La syntaxe est :
+<code lscript>
+//pour les ports source
+monitor session <numero_session_mirroring> source interface <nom_interface> <sens_trafic>
+//pour le port destination
+monitor session <numero_session_mirroring> destination interface <nom_interface>
+</code>
-On peut rediriger le trafic reçu (**//rx//**), transmis (**//tx//**) ou les deux (**//both//**).
+  * La **//source//** peut être un **//port//**, une **//plage de ports//** ou un **//vlan//**.
+  * On peut rediriger le trafic reçu (**//rx//**), transmis (**//tx//**) ou les deux (**//both//**)
+  * La **//destination//** est un port unique.
+**__Exemples__**
 <code lscript>
-#monitor session 1 source interface fa 0/1 both
+monitor session 1 source interface fa 0/1 both
-#monitor session 1 source interface fa0/2 - fa0/4 tx
+monitor session 1 source interface fa0/2 - fa0/4 tx
-#monitor session 1 source interface fa0/6 - fa0/8 rx
+monitor session 1 source interface fa0/6 - fa0/8 rx
-#monitor session 1 destination interface fa0/2
+monitor session 1 destination interface fa0/2
 </code>
@@ Ligne 87: / Ligne 96: @@
 |L’option msg | Elle va permettre d’entrer un message spécifique afin que l’utilisateur puisse comprendre rapidement.|
 |Sid | C'est l’identifiant unique pour identifier les règles il y a trois types : \\   * <100 Réservé pour une utilisation future \\ 100-999,999 Règles incluses dans la distribution de Snort \\ >1 000 000 Utilisé pour les règles locales \\ Dans notre cas la règle a un Sid 1 000 000 2 pour signifier que c’est la deuxième règle .|
-|La révision | Elle permet aussi d’identifier de manière unique la règle, la révision et le Sid sont donc liés.
+|La révision | Elle indique un numéro de version, permettant de faire évoluer une règle dans le temps \\ Il faut faire très attention lors de la création de règle, c’est sensible à la casse, et le lancement d’analyse ne se lance pas. |
-Il faut faire très attention lors de la création de règle, c’est sensible à la casse, et le lancement d’analyse ne se lance pas. |
 Voici ci-dessous des exemples de règles locales :
  {{ :snortregles.png?700 |}}
-La règle numéro une va analyser les tentatives d’accès root aux nas, pour ce qui est de la seconde règle c’est l’analyse des scans port sur le serveur de portefeuille. Et enfin la dernière règle va analyser les ports non autorisés sur le serveur portefeuille.
+La règle numéro une va analyser les tentatives d’accès root aux nas, pour ce qui est de la seconde règle c’est l’analyse des scans port sur le serveur de portefeuille. Et enfin la dernière règle va analyser un accès FTP (port 21) non autorisé sur le serveur portefeuille.
 Liste des liens internet intéressant pour la construction de règles snort.
@@ Ligne 101: / Ligne 109: @@
 ===== Lancement de l’analyse =====
 Snort a besoin d’être lancé pour remonter les alertes lors de problèmes sur le réseau. Il y a plusieurs types de commande de lancement.
-  * Mode détection d’intrusion qui permet de remontée des alertes et prendre des décisions si nécessaires. <code lscript> /usr/local/bin/snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i eth0 </code> {{ :snortdetecintrusion.png?600 |}}
+  * Mode détection d’intrusion qui permet de remontée des alertes et prendre des décisions si nécessaires. (remplacer enp3s0 par votre carte réseau) <code lscript> snort -A console -c /etc/snort/snort.conf -i enp3s0  </code> {{ :snortdetecintrusion.png?600 |}}
 Toutes les alertes sont remontées sur la console automatiquement. Exemple en mode d’intrusion lors d’un accès au Nas avec le compte root ou une règle informe une tentative de connexion en tant que utilisateur root. De plus un fichier log va être créé automatiquement lors des alertes.
 {{ :snortexec.png?600 |}}