I.

Introduction

SNORT est un système de détection d'intrusion(IDS) basé sur un réseau . Il a été développé en 1998
par Martin Roesch. Il est maintenant développé et maintenu par Cisco. Il peut également être utilisé
comme un renifleur de paquets pour surveiller le système en temps réel. L'utilisateur peut l'utiliser
pour surveiller tous les paquets entrants et trouver ceux qui sont dangereux pour le système. Il est
basé sur l'outil de capture de paquets de la bibliothèque (LibCap). Les règles sont assez faciles à créer
et à mettre en œuvre et il peut être déployé dans n'importe quel système d'exploitation et n'importe
quel environnement réseau

A. Importance de la sécurité informatique

B. Historique et évolution

Snort, né en 1998 sous la vision éclairée de Martin Roesch, s'impose comme l'une des figures
emblématiques de la sécurité informatique. Initialement conçu comme un projet personnel, Roesch a
façonné cet outil novateur en langage de programmation C pour répondre au besoin croissant de
détection d'intrusion dans les réseaux informatiques.

Au fil des ans, Snort a évolué à pas de géant, devenant rapidement une référence dans le domaine de
la sécurité. En 2013, Cisco a acquis Snort en ce moment sous Sourcefire consolidant ainsi la position
de Snort au sein d'une entreprise de renom.

Aujourd'hui, Snort continue de prospérer en tant qu'outil de détection d'intrusion, porté par la solide
infrastructure de Cisco et alimenté par la passion et l'expertise d'une communauté mondiale
engagée. Son parcours historique illustre non seulement sa capacité à rester pertinent dans un
paysage numérique en constante évolution, mais également la manière dont la collaboration et
l'engagement communautaire peuvent façonner le futur de la sécurité informatique. De projet
personnel à sentinelle numérique mondiale, Snort incarne une histoire captivante d'innovation,
d'adaptation et de collaboration.

II. Snort : Présentation générale

A. Définition de la détection d'intrusion

La détection d'intrusion est le processus consistant à surveiller activement les activités sur un réseau
informatique ou un système, afin d'identifier et de signaler les tentatives d'accès non autorisées,
d'activités malveillantes ou d'anomalies susceptibles de compromettre la sécurité. Elle repose sur
l'analyse en temps réel des données et des événements, utilisant des signatures, des modèles
comportementaux ou d'autres méthodes pour détecter des signes potentiels d'intrusion, permettant
ainsi une réaction rapide.

B. Objectif principal de Snort

-Détection d'Intrusions : Identifier les tentatives d'accès non autorisées, les attaques réseau et les
comportements malveillants en analysant le trafic réseau et les journaux.
-Prévention des Menaces : Prévenir les intrusions en temps réel en fournissant des alertes
immédiates aux administrateurs système, leur permettant de réagir rapidement pour minimiser les
risques de sécurité.

-Surveillance Continue : Assurer une surveillance constante du trafic réseau pour détecter les
anomalies, les signatures d'attaques connues et les modèles comportementaux suspects.

-Flexibilité et Personnalisation : Offrir une plateforme flexible permettant aux administrateurs de

-Open Source et Collaboration : Encourager la collaboration et la contribution de la communauté en

-Compatibilité Multiplateforme : Être compatible avec différents systèmes d'exploitation (Linux, Unix,
Windows) et s'intégrer facilement dans divers environnements réseau, assurant une utilisation
généralisée.

-Réactivité aux Menaces Émergentes : Évoluer constamment pour rester pertinent face aux nouvelles
menaces en mettant à jour régulièrement les règles de détection et en intégrant des fonctionnalités
pour détecter les tactiques d'attaques émergentes.

-Intégration avec d'autres Outils de Sécurité : Pouvoir s'intégrer harmonieusement avec d'autres
outils de sécurité tels que les pare-feu, les systèmes de prévention d'intrusion (IPS) et les solutions de
gestion de la sécurité de l'information (SIEM).

III. Fonctionnement de Snort

A. Architecture de base

L'architecture de base de Snort repose sur un modèle modulaire qui lui confère flexibilité et
extensibilité.

Capteurs (Sensors) :

Les capteurs sont responsables de la surveillance du trafic réseau. Ils examinent les paquets qui
traversent le réseau, identifiant les schémas correspondant à des signatures d'attaques connues ou
des comportements suspects.

-Moteur de Détection (Detection Engine) :

Le moteur de détection analyse les paquets capturés par les capteurs. Il applique des règles de
détection, basées sur des signatures prédéfinies, pour identifier les activités malveillantes ou les
anomalies. Le moteur de détection est au cœur du processus de détection d'intrusion.

-Préprocesseurs (Preprocessors) :

Les préprocesseurs sont des modules facultatifs qui effectuent des actions préliminaires sur les
paquets avant qu'ils n'atteignent le moteur de détection. Ils peuvent inclure des tâches telles que la
normalisation des paquets, la fragmentation de reconstitution, et d'autres transformations pour
faciliter la détection.

-Décodeurs (Decoders) :

Les décodeurs sont responsables de la conversion des données binaires des paquets en une forme
compréhensible pour le moteur de détection. Ils aident à extraire des informations significatives à
partir du trafic réseau.

-Sorties (Outputs) :

Les sorties sont les composants qui traitent les alertes générées par le moteur de détection. Ils
peuvent être configurés pour envoyer des alertes à des journaux, à des systèmes de gestion des
événements de sécurité (SIEM) ou à d'autres destinations prédéfinies.

-Règles (Rules) :

Les règles définissent les critères de détection utilisés par le moteur pour identifier des
comportements spécifiques. Elles sont créées par les administrateurs pour personnaliser la détection
en fonction des besoins spécifiques du réseau.

-Bibliothèque (Libpcap) :

Snort utilise la bibliothèque Libpcap pour capturer des paquets directement à partir de l'interface
réseau. Elle fournit des outils pour l'acquisition de paquets à partir du réseau, un élément essentiel
du processus de détection.

B. Modes de fonctionnement (Sniffer, Packet Logger, Network IDS, Inline)

Snort offre plusieurs modes de fonctionnement pour répondre à divers besoins de sécurité

-Mode Sniffer :

Dans ce mode, Snort agit comme un "sniffer" ou un analyseur de paquets. Il capture et affiche les
paquets transitant sur le réseau sans effectuer d'analyse approfondie ni générer d'alertes. Ce mode
est utile pour le débogage et l'analyse initiale du trafic.

-Mode Packet Logger :

Le mode Packet Logger permet à Snort de capturer et d'enregistrer l'ensemble des paquets réseau
dans un fichier de journal. Cela peut être utile pour l'analyse ultérieure du trafic ou la rétro-
ingénierie, mais il n'effectue pas d'analyse en temps réel ni ne génère d'alertes.

-Mode Network IDS (NIDS) :

-Le mode Network IDS est l'utilisation la plus courante de Snort. Dans ce mode, Snort fonctionne
comme un système de détection d'intrusion réseau (NIDS). Il analyse en temps réel le trafic réseau à
la recherche de signatures d'attaques connues ou de comportements suspects, générant des alertes
en cas de détection.

-Mode Inline :
En mode Inline, Snort est intégré directement dans le chemin du trafic réseau et peut prendre des
mesures actives pour prévenir ou bloquer les attaques détectées. Cela peut inclure l'envoi de paquets
de réinitialisation (reset) pour terminer une connexion compromise. Ce mode offre une réponse en
temps réel aux menaces.

C. Utilisation des règles pour la détection

-Compréhension des Règles :

Familiarisez-vous avec le format des règles Snort. Chaque règle est composée de différents champs,
décrivant les conditions de détection, les actions à prendre, et d'autres paramètres. Comprendre ces
éléments est crucial pour une configuration précise.

-Sélection des Règles :

Identifiez les règles pertinentes en fonction des menaces spécifiques que vous souhaitez détecter.
Snort propose une vaste bibliothèque de règles couvrant divers types d'attaques, de comportements
suspects, et de vulnérabilités.

-Personnalisation des Règles :

Adaptez les règles à votre environnement spécifique. Vous pouvez personnaliser les règles en
modifiant des paramètres tels que les adresses IP, les ports, les protocoles, et d'autres conditions
pour les adapter aux caractéristiques de votre réseau.

-Création de Règles Personnalisées :

Si nécessaire, créez des règles personnalisées pour répondre à des exigences spécifiques de
détection. Les règles personnalisées permettent d'ajouter des critères spécifiques basés sur les
besoins de votre organisation.

-Organisation des Règles :

Organisez les règles de manière logique en fonction de la politique de sécurité de votre organisation.
Il peut être utile de regrouper les règles par catégories, de les organiser par priorité, ou d'utiliser des
fichiers de configuration distincts pour une gestion plus efficace.

-Mise à Jour Régulière :

Assurez-vous de maintenir vos règles à jour. Les nouvelles menaces émergent constamment, et les
fournisseurs de règles publient régulièrement des mises à jour pour couvrir ces nouvelles
vulnérabilités et attaques.

-Surveillance des Alertes :

Configurez les sorties appropriées pour recevoir des alertes générées par Snort en cas de détection
d'intrusion. Cela peut inclure l'envoi d'e-mails, l'intégration avec des SIEM, ou d'autres mécanismes
pour assurer une réaction rapide en cas d'incident.

-Test et Ajustement :

Testez vos règles dans un environnement contrôlé pour vous assurer qu'elles fonctionnent comme
prévu. Surveillez les fausses alertes et ajustez les règles si nécessaire pour minimiser les faux positifs.
IV. Installation et Configuration de Snort

A. Prérequis système

B. Installation de Snort

C. Configuration initiale

V. Modes de Détection de Snort

A. Détection de signature

1. Fonctionnement basé sur des règles

2. Exemples de règles

B. Détection d'anomalies

1. Utilisation de l'apprentissage automatique

2. Détection de comportements suspects

---------------------------------------------------------

|VI. Utilisation Avancée de Snort |

|A. Détection de protocoles spécifiques |

|B. Analyse de paquets chiffrés (SSL/TLS) |

|C. Utilisation avec d'autres outils de sécurité |

---------------------------------------------------------

VII. Snort dans un Environnement Réel

A. Intégration avec d'autres solutions de sécurité

B. Scénarios d'utilisation courants

C. Études de cas de succès

VIII. Avantages et Limitations de Snort

A. Points forts de Snort

Avantages de Snort :
 1. Open Source : Snort est un logiciel open source, ce qui signifie qu'il
est gratuit à utiliser et à personnaliser.
2. Règles Personnalisables : La flexibilité des règles permet aux
utilisateurs de créer des configurations personnalisées adaptées à
leurs besoins spécifiques.
3. Communauté Active : Bénéficie d'une communauté d'utilisateurs et
de développeurs active qui contribue à son amélioration continue.
4. Détection de Signatures : Excellente pour la détection d'intrusions
basée sur des signatures, permettant l'identification de modèles
spécifiques de comportements malveillants.
B. Limitations de snort

Limitations de Snort :
1. Détection d'Anomalies Limitée : Moins efficace dans la détection
d'anomalies comparé à certains autres systèmes qui se spécialisent
dans cette approche.
2. Complexité de Configuration : La configuration initiale peut être
complexe, nécessitant une compréhension approfondie des réseaux
et des protocoles.
3. Défis avec le Chiffrement : La détection des menaces dans le trafic
chiffré peut être un défi pour Snort.
4. Ressources Système : Peut nécessiter des ressources système
significatives, en particulier dans des environnements de réseau très
chargés.

C. Comparaison avec d'autres IDS

IX. Perspectives d'Avenir pour Snort

A. Évolutions futures

B. Adaptation aux nouvelles menaces

C. Communauté et support

X. Conclusion