Dieser Kurs führt praktisch in HTTP-Erkennungsregeln ein. Du untersuchst fiktive Dokument-Uploads in aufgezeichneten Paketmitschnitten und erstellst einen funktionierenden Detektor, der verbotene Übertragungen von legitimem Verkehr unterscheidet.
Zwei angeleitete Labs erklären Anfragefelder, Wiedergabe und Alarmdeutung. Danach kombinierst du Ziel und Dokumentkontext, um Fehlalarme zu reduzieren. Eine Challenge ändert Empfänger und Dokumenttyp, damit du dieselben Verfahren selbstständig anwendest.
Was du lernen wirst
- Methode, Host, URI und Inhalt einer HTTP-Anfrage lesen.
- Suricata-Regeln mit HTTP-Sticky-Buffern schreiben und ihre Syntax testen.
- Synthetische PCAPs wiedergeben und JSON-Alarme ihren Anfragen zuordnen.
- Richtlinienbedingungen kombinieren und erwünschte Treffer sowie legitime Nichttreffer testen.
Für wen dieser Kurs geeignet ist
Für Einsteiger in die Netzwerkerkennung. Du solltest Befehle eingeben und Tabs wechseln können; IDS-, Programmier- oder Paketanalysekenntnisse sind nicht erforderlich. Jede Einheit bietet ein unabhängiges Linux-Terminal im Browser, die installierte Engine, Mitschnitte und eine Referenz des aufgezeichneten Verkehrs.
Häufig gestellte Fragen
Blockiert das echte Uploads?
Nein. Offline-Alarmregeln untersuchen vorbereitete Mitschnitte. Ein Alarm ist ein zu untersuchender Treffer, kein Beweis für einen Einbruch oder eine Verhinderung.
Kann ich HTTPS-Inhalte prüfen?
Der Kurs verwendet synthetisches unverschlüsseltes HTTP, damit die Felder sichtbar sind. TLS-Entschlüsselung und Sichtbarkeit verschlüsselter Nutzdaten gehören nicht dazu.
Was wird bewertet?
Die echte Engine führt deine Regel mit ausgewogenen Mitschnitten in einem frischen Ausgabeverzeichnis aus. Du reichst keinen Bericht und keine kopierten Alarme ein.
