Suricata で不正なアップロードを検出する

このコースでは、HTTP 検出ルールの作成を実践的に学びます。記録済みのパケットキャプチャに含まれる架空の文書アップロードを調べ、禁止された転送と正当な通信を区別する検出器を完成させます。

2 つのガイド付きラボで要求フィールド、再生、アラートの読み方を学び、送信先と文書の情報を組み合わせてノイズを減らします。チャレンジでは収集先と文書の種類を変更し、同じ仕組みを自力で応用します。

学習内容

• HTTP 要求のメソッド、ホスト、URI、本文を読む。
• HTTP スティッキーバッファを使って Suricata ルールを作成し、構文をテストする。
• 合成 PCAP を再生し、JSON アラートと要求を対応付ける。
• ポリシー条件を組み合わせ、検出すべき通信と正常な非検出例をテストする。

このコースの対象者

ネットワーク検出に興味がある初心者向けです。ターミナルへの入力とタブ切り替えの基本操作が必要ですが、IDS、プログラミング、パケット解析の経験は不要です。各単元には、独立したブラウザ内 Linux ターミナル、導入済みのエンジン、キャプチャ、記録済み通信の参照画面が用意されています。

よくある質問

実際のアップロードを阻止しますか？

いいえ。オフラインのアラートルールで準備済みキャプチャを調べます。アラートは調査すべき一致であり、侵害や阻止の証明ではありません。

HTTPS の本文も調べられますか？

フィールドが見えるよう、合成した平文 HTTP を使います。TLS 復号は扱わず、暗号化されたペイロードを読めるとは主張しません。

何が採点されますか？

実際のエンジンが新しい出力ディレクトリで、正例と負例を含むキャプチャに対して提出ルールを実行します。報告書やコピーしたアラートログは提出しません。