Suricata Forensics

Définition

Suricata est un moteur open source de détection et de prévention d'intrusions réseau (IDS/IPS) développé par la Open Information Security Foundation (OISF). En forensique, Suricata joue un double rôle : outil de détection en temps réel générant des alertes qui constituent des preuves d'activité malveillante, et outil d'analyse post-incident capable d'analyser des fichiers PCAP pour détecter les menaces avec des milliers de règles. Les logs Suricata sont une source forensique riche. Le fichier eve.json (Extensible Versatile Events) est le format de log principal, produisant des événements JSON structurés de plusieurs types : alert (signature déclenchée), dns (requête/réponse DNS), http (requête/réponse HTTP avec tous les headers), tls (handshake TLS avec certificat), flow (statistiques de flux TCP/UDP), fileinfo (fichiers transmis via HTTP/SMTP/FTP), et smtp (emails). Cette richesse de types d'événements fait de Suricata une sonde réseau multi-fonctions. Les règles Suricata suivent une syntaxe similaire à Snort mais avec des extensions avancées. Les règles Emerging Threats (ET Open, disponibles gratuitement) constituent la base de règles la plus utilisée pour Suricata, couvrant des milliers de signatures de malwares, d'exploits, de C2, et de comportements réseau malveillants. Proofpoint commercialise ET Pro avec des règles plus récentes et une couverture plus large. Pour les investigations forensiques a posteriori, Suricata peut être utilisé pour analyser des PCAP historiques avec une nouvelle version des règles : 'suricata -r capture.pcap -l /output/'. Cette capacité 'time travel' permet de ré-analyser un trafic capturé avant un incident avec les règles actuelles pour détecter des comportements qui n'auraient pas déclenché d'alertes au moment de la capture. L'extraction de fichiers ('suricata -r capture.pcap --set app-layer.protocols.http.enabled=yes') récupère automatiquement les fichiers transmis dans les flux HTTP, FTP, et SMTP.