Intrusion Detection
System
z
Etude de SNORT
M. Lassana DOUCOURE
M. Florent Kouméabalo BAKA
z
PLAN
INTRODUCTION
Présentation de SNORT
Architecture de SNORT
Mode de fonctionnement
Les règles de SNORT
Configuration de SNORT
CONCLUSION
z
Introduction
Dans un système, afin de détecter les attaques, il est
nécessaire de disposer d’un logiciel spécialisé dont le rôle
est de surveiller les données qui transitent et qui serait
capable de réagir si des données semblent suspectes.
(IDS : Intrusion Detection System) mécanisme qui
permet d’identifier les flux anormales ou suspectes sur un
reseau ou un hôte.
z
Présentation de SNORT
Système de Détection d'Intrusion de réseau Open Source
Il fait l’analyse en temps réel du trafic sur les réseaux IP et la
journalisation des paquets
Il utile des règles qui déterminent la manière dont les paquets du
réseau sont analysés pour détecter les intrusions et les intentions
malveillantes.
Architecture de SNORT
Un noyau de base : (PacketDecoder) : Durant l’exécution, son rôle
principal est la capture des paquets.
Une série de pré–processeurs: (Détection Engine) : Ils reçoivent
les paquets directement capturés et décodés, éventuellement les
retravaillent puis les fournissent au moteur de recherche de signatures pour
les comparer avec la base des signatures .
z
Architecture de SNORT
Une série de « Detection plugins » : Elle fait la comparaison entre
les différents champs des headers des protocoles (IP, ICMP, TCP et
UDP) par rapport à des valeurs précises
Une série de « output plugins » : Permet de traiter cette intrusion
de plusieurs manières, à savoir : l’envoie d’alertes vers un fichier log,
l’envoie d’un message d’alerte vers un serveur syslog, le stockage
de cette intrusion dans une base de données SQL.
z
Mode de fonctionnement
SNORT peut fonctionner en 3 modes:
- Mode sniffer : Dans ce mode, SNORT lit les paquets circulant sur le réseau
et les affiche d’une façon continue sur l’écran
- Mode « packetlogger » : fonctionne comme le mode sniffer avec une
journalisation des logs dans un répertoire sur le disque à savoir le fichier de
log.
- Mode détecteur d’intrusion réseau (NIDS) : SNORT analyse le trafic du
réseau, le compare à des règles déjà définie par l’utilisateur et établit des
actions à exécuter.
z
Configuration de SNORT
Les étapes de la configuration de SNORT:
z
Configuration de SNORT
Configuration des variables réseaux :
z
Configuration de SNORT
RULE_PATH permet ensuite de définir le chemin des
fichiers rules contenant les règles de déclenchement des
différentes alertes
z
Configuration de SNORT
Créer les fichiers de règles de liste blanche et de liste
noire référencé :
z
Configuration de SNORT
Configuration du décodeur : Le décodeur a la tâche de
déterminer quels sont les protocoles sous-jacents qui
sont utilisés dans le paquet
Paramétrer le répertoire de journalisation :
z
Configuration de SNORT
Configuration des bibliothèques chargées dynamiquement :
Préciser le chemin absolu des bibliothèques
z
Configuration de SNORT
Créons maintenant les fichiers [Link] et [Link] dans le
répertoire référencé dans le fichier de configuration
z
Configuration de SNORT
Test de la configuration de Snort
z
Configuration de SNORT : les règles
Les règles de SNORT sont constituées de deux parties distinctes le header
et les options.
Le header de la règle contient:
• L’action de la règle (la réaction de SNORT)
• Le protocole qui est utilisé pour la transmission des données (TCP, UDP, ICMP
et IP)
• Les adresses IP source et destination et leur masque
• Les ports source et destination sur lesquels il faudra vérifier les paquets
Les options de la règle contient :
• le message d'alerte;
• les conditions qui déterminent l'envoi de l'alerte en fonction du paquet
inspecté.
z
Configuration de SNORT : les règles
Création de règles permettant de surveiller notre réseau
z
Configuration de SNORT : les règles
Le programme doit commencer à imprimer des alertes a l’écran
pour chaque message ICMP, UDP et TCP envoyés a l’ordinateur.
z
CONCLUSION
SNORT est un outil important pour la détection d’intrusion. Nous
avons présenté SNORT et donnés toutes les étapes
configuration de cet outil.
Les systèmes de détection d’intrusion, en particuliers Snort,
peuvent être assimilés à de simples alarmes qui se déclenchent
une fois qu’ils découvrent une intrusion.
