Snort を活用したネットワーク侵入検知では、suspicious behavior を testable IDS rule と actionable alert に変換します。4 guided lab で configuration、capture、rule syntax、content/PCRE signature、alert analysis を扱い、最後に prepared perimeter-attack PCAP を調査します。
isolated Ubuntu 22.04 VM で local traffic と simulated PCAP を使用し、rule validation、fast/full alert、false positive と missed detection の関係を学びます。
学習内容
snort.conf、HOME_NET、monitoring 前の syntax validation- Snort sniffer/logger mode と packet evidence の保存
- action、protocol、address、direction、port の rule header
- message、SID、revision、TCP flag、content condition の追加
- literal content と case-insensitive PCRE による simulated SQL injection 検知
- fast/full alert から endpoint、service、signature、packet detail を解釈
- PCAP から SYN scan/HTTP exploit signature を作り alert を集計
このコースの対象者
signature-based detection を実践したい SOC 学習者、network defender、Security Analyst、Linux administrator 向けです。packet/protocol の基礎後に適します。
前提知識： Linux shell、TCP/IP address/port、ICMP、TCP flag、HTTP、tcpdump 等での PCAP 読み取り。Snort rule 経験は不要です。
学習環境： ブラウザー Ubuntu 22.04 VM の 5 activity（4 guided lab、1 challenge）。configuration、local rule、test traffic、alert log、simulated SQL injection/scan/Web exploit PCAP が用意されています。
よくある質問
traffic を block する inline IPS を設定しますか？
いいえ。sniffer、logger、passive IDS、offline PCAP で alert を生成します。inline blocking と production integration は対象外です。
external system に real attack を行いますか？
いいえ。local traffic と prepared PCAP で SQL injection、SYN scan、HTTP exploit を simulation し、第三者を攻撃しません。
Snort rule subscription は必要ですか？
不要です。included configuration と custom SID の local rule を使い、external feed は管理しません。
すべての attack variant を検知できますか？
いいえ。広すぎる rule は false positive、狭すぎる rule は evasion を招きます。content/PCRE は matching mechanism の学習用です。
