이 과정은 HTTP 탐지 규칙 작성을 실습으로 소개합니다. 기록된 패킷 캡처에서 가상의 문서 업로드를 조사하고, 금지된 전송과 정상 트래픽을 구별하는 작동하는 탐지기를 완성합니다.
두 개의 가이드 실습에서 요청 필드, 재생, 경고 해석을 배우고 목적지와 문서 맥락을 결합하여 잡음을 줄입니다. 챌린지는 수집 대상과 문서 유형을 바꾸어 같은 방법을 독립적으로 적용하게 합니다.
학습 내용
- HTTP 요청의 메서드, 호스트, URI, 본문 읽기.
- HTTP 스티키 버퍼로 Suricata 규칙을 작성하고 구문 검사하기.
- 합성 PCAP을 재생하고 JSON 경고를 요청과 연결하기.
- 정책 조건을 결합하고 탐지할 사례와 경고하지 않을 정상 사례를 함께 검사하기.
추천 대상
네트워크 탐지에 관심 있는 입문자를 위한 과정입니다. 터미널 입력과 탭 전환의 기본 조작이 필요하지만 IDS, 프로그래밍, 패킷 분석 경험은 필요하지 않습니다. 각 단원은 독립적인 브라우저 Linux 터미널, 설치된 엔진, 캡처, 기록된 트래픽 참조 화면을 제공합니다.
자주 묻는 질문
실제 업로드를 차단하나요?
아니요. 오프라인 경고 규칙은 준비된 캡처를 검사합니다. 경고는 조사할 일치 항목이며 침해나 차단의 증거가 아닙니다.
HTTPS 본문도 검사하나요?
필드를 볼 수 있도록 합성한 평문 HTTP를 사용합니다. TLS 복호화는 다루지 않으며 암호화된 페이로드를 볼 수 있다고 주장하지 않습니다.
무엇을 평가하나요?
실제 엔진이 새 출력 디렉터리에서 정답 사례와 정상 비교 사례가 포함된 캡처에 제출한 규칙을 실행합니다. 보고서나 복사한 경고 로그는 제출하지 않습니다.
