Kategorie: Linux (wszystkie) , Sieci komputerowe i Cisco. Bezpieczeństwo. , Bezpieczeństwo systemów IT. Metody ataku i obrony
O szkoleniu
Zapora sieciowa przepuszcza ruch, który wygląda na poprawny – a właśnie w nim kryje się wiele ataków. System IDS/IPS analizuje ten ruch, alarmuje o podejrzanych zdarzeniach, a w trybie IPS potrafi je zablokować. Na szkoleniu uruchamiamy w Linuksie Suricatę, najpopularniejszy dziś otwarty system tego typu, uczymy się pisać i stroić reguły, a potem uruchamiamy te same reguły w Snorcie. Ćwiczymy na przykładach ruchu z typowych ataków: skanowania, łamania haseł, ataków na aplikacje webowe i podejrzanej komunikacji ze światem.
W ciągu dwóch dni:
- zrozumiesz, co system IDS/IPS widzi w ruchu sieciowym, a czego nie, i gdzie go umieścić w sieci,
- zainstalujesz i skonfigurujesz Suricatę z aktualnymi zestawami reguł,
- napiszesz i przetestujesz własne reguły wykrywające typowe ataki,
- ograniczysz fałszywe alarmy i nauczysz się analizować alerty,
- uruchomisz tryb IPS i bezpiecznie przejdziesz od alarmowania do blokowania,
- ocenisz, kiedy lepiej sprawdzi się Suricata, a kiedy Snort.
Przy pisaniu reguł i analizie alertów pokazujemy, jak sensownie korzystać z asystenta AI i co po nim sprawdzać. Jeśli chcesz najpierw dobrze poznać sam ruch sieciowy i Wiresharka, zacznij od szkolenia Analiza ruchu sieciowego TCP/IP.
Szkolenie jest dla wszystkich, którzy odpowiadają za bezpieczeństwo sieci w firmie: administratorów sieci i Linuksa, specjalistów bezpieczeństwa IT i analityków SOC, inżynierów utrzymujących zapory i infrastrukturę, a także osób, które wybierają rozwiązania do wykrywania włamań albo odbierają je od wykonawcy.
Czas trwania
2 dni
Program
- IDS i IPS dziś – miejsce w obronie sieci
- jak wygląda atak w sieci: rekonesans, skanowanie, wykorzystanie podatności, komunikacja z serwerem atakującego, wyprowadzanie danych
- IDS a IPS, sieciowy a hostowy – zalety i ograniczenia
- metody wykrywania: sygnatury, analiza protokołów, anomalie
- ruch szyfrowany (TLS) – co system widzi, a czego nie
- gdzie umieścić sensor: port SPAN, TAP, praca inline
- przegląd rozwiązań open source: Suricata, Snort; wzmianka o Zeek i Wazuh
- Suricata – instalacja i konfiguracja
- instalacja i struktura konfiguracji
- zmienne sieciowe, interfejsy, tryby przechwytywania ruchu
- zestawy reguł i ich aktualizacja
- logi i format EVE JSON: alerty, przepływy, metadane protokołów
- analiza nagranego ruchu (pliki pcap)
- Reguły – czytanie, pisanie, testowanie
- budowa reguły: akcja, nagłówek, opcje
- dopasowanie treści i słowa kluczowe protokołów (HTTP, DNS, TLS)
- śledzenie stanu połączeń i progi zdarzeń
- własne reguły dla typowych ataków: skanowanie, łamanie haseł, ataki na aplikacje webowe, podejrzane zapytania DNS
- testowanie reguł na plikach pcap
- asystent AI przy pisaniu reguł i analizie alertów – jak korzystać i co weryfikować
- Snort
- instalacja i konfiguracja
- uruchomienie reguł w Snorcie – różnice względem Suricaty
- kiedy Snort, kiedy Suricata – kryteria wyboru
- Praca z alertami i strojenie
- fałszywe alarmy: wyłączanie, modyfikacja i wyciszanie reguł
- priorytety i klasyfikacja alertów
- od alertu do incydentu: analiza zdarzenia, zabezpieczenie danych
- przekazywanie alertów do systemu SIEM – wzmianka o Wazuh i Elastic
- wydajność sensora – podstawowe zasady
- Tryb IPS – blokowanie ruchu
- Suricata w trybie inline z nftables
- reguły blokujące, przełączanie wybranych reguł z alarmowania na blokowanie
- ryzyka: blokowanie właściwego ruchu, awaria sensora
- bezpieczne wdrożenie: od obserwacji do stopniowego blokowania
- wzmianka o IDS/IPS wbudowanym w zapory (OPNsense, pfSense)
Training also available in English .
Przeznaczenie i wymagania
Szkolenie jest przeznaczone przede wszystkim dla:
- administratorów sieci i systemów Linux,
- specjalistów bezpieczeństwa IT i analityków SOC,
- inżynierów utrzymujących zapory sieciowe i infrastrukturę,
- osób odpowiedzialnych za wybór i odbiór rozwiązań do wykrywania włamań.
Od uczestników oczekujemy:
- swobodnej pracy w linii poleceń Linuksa: edycja plików konfiguracyjnych, usługi, logi,
- podstawowej znajomości sieci TCP/IP: adresacja, porty, popularne protokoły (HTTP, DNS).
Przyda się ogólna orientacja w Wiresharku lub tcpdump, ale nie jest konieczna.
Certyfikaty
Uczestnicy szkolenia otrzymują imienne certyfikaty sygnowane przez ALX.