Этот курс знакомит с написанием правил обнаружения HTTP на практике. Вы исследуете вымышленные загрузки документов в записанных захватах пакетов и создадите рабочий детектор, отличающий запрещённые передачи от легитимного трафика.
Две пошаговые работы знакомят с полями запросов, воспроизведением и интерпретацией тревог, затем объединяют адрес назначения и контекст документа для уменьшения шума. В самостоятельном задании меняются получатель и тип документа, но используются те же механизмы.
Чему вы научитесь
- Читать метод, хост, URI и тело HTTP-запроса.
- Писать правила Suricata с HTTP-буферами sticky buffer и проверять синтаксис.
- Воспроизводить синтетические PCAP и связывать JSON-тревоги с запросами.
- Объединять условия политики и проверять нужные совпадения вместе с легитимными несовпадениями.
Для кого этот курс
Для начинающих, интересующихся сетевым обнаружением. Нужны базовый ввод команд и переключение вкладок; опыт с IDS, программированием или анализом пакетов не требуется. Каждая работа предоставляет независимый Linux-терминал в браузере, установленный движок, захваты и справочник записанного трафика.
Часто задаваемые вопросы
Это блокирует реальные загрузки?
Нет. Офлайн-правила тревог проверяют подготовленные захваты. Тревога означает совпадение для изучения, а не доказательство взлома или блокировки.
Можно исследовать тела HTTPS?
Здесь используется синтетический незашифрованный HTTP, чтобы поля были видны. Курс не обучает расшифровке TLS и не обещает доступ к зашифрованным данным.
Что оценивается?
Настоящий движок запускает представленное правило на сбалансированных захватах в новом выходном каталоге. Отчёты и скопированные журналы тревог не требуются.
