Este curso introduce la escritura de reglas de detección HTTP mediante la práctica. Investigarás cargas de documentos ficticios en capturas grabadas y entregarás un detector funcional que distinga transferencias prohibidas y tráfico legítimo.
Dos laboratorios guiados presentan los campos de las solicitudes, la reproducción y la interpretación de alertas, y después combinan destino y contexto documental para reducir ruido. Un desafío cambia el colector y el tipo de documento para que apliques los mismos mecanismos de forma independiente.
Lo que aprenderás
- Leer método, host, URI y cuerpo de una solicitud HTTP.
- Escribir reglas Suricata con búferes persistentes HTTP y comprobar su sintaxis.
- Reproducir PCAP sintéticos y relacionar alertas JSON con sus solicitudes.
- Combinar condiciones de política y probar coincidencias y casos benignos sin coincidencia.
A quién va dirigido este curso
Para principiantes interesados en detección de redes. Debes saber introducir comandos y cambiar de pestaña; no necesitas experiencia en IDS, programación o análisis de paquetes. Cada unidad ofrece un terminal Linux independiente en el navegador, el motor instalado, capturas y una referencia de tráfico grabado.
Preguntas frecuentes
¿Bloquea cargas reales?
No. Las reglas de alerta sin conexión examinan capturas preparadas. Una alerta es una coincidencia que investigar, no una prueba de compromiso ni de prevención.
¿Puede inspeccionar cuerpos HTTPS?
Se utiliza HTTP sintético sin cifrar para que los campos sean visibles. No se enseña descifrado TLS ni se promete visibilidad de cargas cifradas.
¿Qué se evalúa?
El motor real ejecuta tu regla con capturas equilibradas en un directorio de salida limpio. No entregas informes ni registros de alertas copiados.
