Suricata 4.0 : la détection d’intrusion en mode hipster

Posté par  (site web personnel) . Édité par Davy Defaud, Pierre Jarillon, palm123, ZeroHeure, claudex et Xavier Teyssier. Modéré par claudex. Licence CC By‑SA.
Étiquettes :
35
29
juil.
2017
Sécurité

Suricata, l’outil de détection des menaces réseau, passe en version 4.0 avec pléthore de nouveautés :

  • ajout de l’analyse du protocole NFS ;
  • améliorations de la gestion de TLS ;
  • gestion des changements de protocoles (STARTTLS, HTTP CONNECT) ;
  • enrichissement des événements générés ;
  • prise en charge d’analyseurs de protocoles en Rust.

Suricata est un moteur de détection d’intrusions réseau et de supervision réseau orienté sécurité. En clair, il analyse le trafic des réseaux pour détecter des menaces et journaliser les événements. Suricata est disponible sous licence GPL v2 et est développé par une fondation à but non lucratif, l’OISF.

Suricata est devéloppé en C avec depuis la version 4.0 des analyseurs de protocoles en Rust écrits avec utilisant le framework Nom.

SELKS 3.0 une distro pour l’analyse réseau et sécurité

56
15
août
2016
Sécurité

SELKS est une distribution autonome (live) et installable qui fournit une solution de détection d’intrusion réseau et de supervision de la sécurité orientée réseau basée sur le moteur Suricata. SELKS utilise les outils Elastic pour le stockage et l’analyse des données. La version 3.0 intègre Elasticsearch 2.x et Kibana 4.x, offrant ainsi une analyse des données plus flexible et performante que dans les versions précédentes.

L'interface de gestion

Concrètement, SELKS vous permet d’analyser le trafic d’un réseau en temps réel pour extraire des informations protocolaires et détecter des anomalies. Suricata réalise cette analyse et les outils Elastic se chargent, eux, de stocker et de représenter les données générées.

SELKS 1.0 : une distribution

Posté par  (site web personnel) . Édité par Davy Defaud, Nÿco, Xavier Teyssier et palm123. Modéré par patrick_g. Licence CC By‑SA.
35
16
oct.
2014
Sécurité

SELKS est une distribution liv_e et installable qui fournit un système de détection d’intrusion (_Intrusion Detection System, abrévié IDS) Suricata prêt à l’emploi. Elle intègre Scirius, une interface Web de gestion des règles de l’IDS, et le trio Elasticsearch, Logstash et Kibana (ou "ELK"). L’interface Kibana permet d’analyser les alertes et les événements remontés par l’IDS.

Capture d'écran de SELKS

Le projet SELKS a été initié pour fournir un moyen de tester rapidement les capacités de l’IDS Suricata dans le domaine de la détection d’intrusion réseau et dans le domaine de la surveillance réseau. En mode live, il est ainsi possible de passer de l’amorçage du système à l’analyse du trafic réseau dans Kibana en 30 secondes.

Forum Linux.debian/ubuntu Installation de Suricata

Posté par  . Licence CC By‑SA.
0
28
mai
2014

Bonjour à tous !

Actuellement, j'ai installé Suricata sur un serveur en maquette (Ubuntu 12.04) avec l'interface graphique Kibana. J'ai suivi entre autre ce tuto : Tuto Suricata
Pour le moment, il ne surveille pas grand chose, à part les flux sur son interface réseau.

Voilà ma question : est-il possible d'installer un deuxième Suricata à un autre endroit du réseau et de centraliser les alertes et messages dans la même interface graphique ?

Merci d'avance pour votre réponse !

Daphmo

Prelude IDS 1.1.0

Posté par  . Édité par Nÿco, claudex, palm123, Benoît Sibaud, NeoX et ZeroHeure. Modéré par Pierre Jarillon. Licence CC By‑SA.
25
30
déc.
2013
Sécurité

Prelude est un logiciel SIEM qui permet de superviser la sécurité des systèmes d'information. Prelude collecte, normalise, trie, agrège, corrèle et affiche tous les événements de sécurité indépendamment des types d'équipements ou système surveillés.

Prelude IDS

Au-delà de sa capacité de traitement de tout type de journaux d’événements (journaux système, syslog, fichiers plats, etc.), Prelude est nativement compatible avec de nombreuses sondes anti-intrusion open-source (snort, suricata, ossec, samhain, etc.) grâce à l'utilisation du format IDMEF (RFC 4765).

Journal Le logiciel libre, en fait, ça paie !

Posté par  . Licence CC By‑SA.
29
24
juil.
2013

Sajour Nal,

Bon, désolé pour le titre, j'ai pas trouvé beaucoup mieux :/
J'espère que tu me pardonneras, et que les lecteurs en feront de même. En même temps, c'est mon premier Nal, du coup j'étais tout chose en remplissant le champ du titre…
Bref.

Mon p'tit Nal, si je t'écris, c'est parce que je viens de voir sur PCI que Cisco, modeste PME vaguement spécialisée dans le réseau, vient de se lancer dans l'acquisition de Sourcefire. Et pas (…)

Le SIEM Prelude est de retour dans les bacs en version 1.0.1

Posté par  . Édité par Benoît Sibaud et tuiu pol. Modéré par tuiu pol.
Étiquettes :
18
23
juil.
2012
Sécurité

Prelude OSS est de retour sur Internet avec une nouvelle version 1.0.1.

Prelude est un logiciel SIEM (Security Information & Event Management) qui permet de superviser la sécurité de votre système d'information. Prelude collecte, normalise, trie, agrège, corrèle et affiche tous les événements de sécurité indépendamment des types d'équipements surveillés. Au-delà de sa capacité de traitement de tous types de journaux d’événements (logs système, syslog, fichiers plats, etc.), Prelude est nativement compatible avec de nombreuses sondes anti-intrusion open-source (snort, suricata, ossec, samhain, etc.) grâce à l'utilisation du format IDMEF (RFC 4765).

Démarré en 1998 sous la forme d'un projet libre d'une sonde IDS, Prelude devient le premier SIEM hybride open-source à partir de 2003, année à laquelle se crée la société Prelude Technologies qui commercialise la version Entreprise.

Prelude sera repris en 2009 par la société Edenwall et sera malheureusement entraîné dans sa mise en faillite. Le logiciel est alors racheté par la société CS, intégrateur de systèmes critiques, en début d'année 2012, société qui propose déjà une solution open-source de supervision de performances complémentaire avec Vigilo. Suite au rachat, le site Prelude est remis en ligne mais sans les sources de la version OSS. Cette nouvelle version signe donc le retour de Prelude OSS sur Internet.

Les nouveautés de la v1.0.1 :

  • Correction de nombreux bugs
  • Rafraîchissement des interfaces Web
  • Amélioration des traductions
  • Ajout de nouvelles règles LML
  • Mise à jour des copyrights
  • Transfert des fonctions relaying dans la version Entreprise

Les IDS et les obligations CNIL

Posté par  . Édité par baud123. Modéré par rootix. Licence CC By‑SA.
Étiquettes :
23
23
juin
2012
Justice

La mise en place de systèmes de détection d'intrusion (IDS) ou de prévention d'intrusion (IPS) est de plus en plus utilisé par les organisations. Pour autant, il semble que tout le monde ne respecte pas systématiquement les obligations CNIL liées à leur mise en œuvre.

Qu'on utilise Snort, Prélude ou autres, il est nécessaire de demander une autorisation à la CNIL, préalablement à leur exploitation, en raison du fait que ces outils traitent des données relatives à des infractions pénales (ex : l'IDS protège contre des accès frauduleux).

On comprend que la vie privée soit un enjeu important, mais est-ce qu'il ne faudrait pas simplifier un minimum les procédures dans un cas pareil ? Si à chaque fois qu'on met en place un IPS il faut attendre l'aval de la CNIL, on n'est pas prêt de mettre en place des protections efficaces. Déjà qu'on a du mal…