Ce cours propose une introduction pratique aux règles de détection HTTP. Vous étudierez des envois de documents fictifs dans des captures enregistrées et réaliserez un détecteur capable de distinguer les transferts interdits du trafic légitime.
Deux laboratoires guidés présentent les champs HTTP, la relecture et les alertes, puis combinent destination et contexte documentaire pour réduire le bruit. Un défi change le collecteur et le type de document afin d’appliquer les mêmes mécanismes en autonomie.
Ce que vous apprendrez
- Lire la méthode, l’hôte, l’URI et le corps d’une requête HTTP.
- Écrire des règles Suricata avec les tampons persistants HTTP et tester leur syntaxe.
- Relire des PCAP synthétiques et relier les alertes JSON aux requêtes.
- Combiner les conditions d’une politique et tester les correspondances ainsi que les cas légitimes silencieux.
À qui s’adresse ce cours
Aux débutants intéressés par la détection réseau. Il faut savoir saisir une commande et changer d’onglet ; aucune expérience en IDS, programmation ou analyse de paquets n’est requise. Chaque unité fournit un terminal Linux indépendant dans le navigateur, le moteur installé, des captures et une référence du trafic enregistré.
Questions fréquentes
Cela bloque-t-il de vrais envois ?
Non. Les règles d’alerte hors ligne inspectent des captures préparées. Une alerte indique une correspondance à examiner, pas une preuve de compromission ou de blocage.
Peut-on inspecter les corps HTTPS ?
Le cours utilise du HTTP synthétique en clair pour rendre les champs visibles. Il ne traite pas du déchiffrement TLS et ne promet aucune visibilité dans les contenus chiffrés.
Qu’est-ce qui est évalué ?
Le moteur réel exécute la règle soumise sur des captures équilibrées dans un répertoire de sortie neuf. Aucun rapport ni journal d’alertes copié n’est demandé.
