- Connaître les en-têtes Ethernet, IPv4/IPv6, TCP (drapeaux SYN, ACK, FIN, RST, PSH, URG ; numéros de séquence), UDP, ICMP, pour repérer les anomalies.
- Méthodes de détection : par signature (règles, rapide, aveugle aux attaques inconnues), par anomalie / comportement (écart à la normale), par réputation.
- Une règle IPS (de type Snort) : action, protocole, source, destination, options (contenu recherché, message, identifiant).
- Corréler : une alerte IPS + un flux NetFlow + un journal de proxy + un événement EDR sur le même hôte racontent une histoire.
- Résultats d'analyse : vrai/faux positif/négatif ; impact du chiffrement et de l'inspection TLS ; métadonnées utiles même sans contenu (JA3/JA4, SNI, certificats).
alert tcp $EXTERNAL_NET any -> $HOME_NET 22 (msg:"Tentatives SSH nombreuses"; flags:S; \
detection_filter:track by_src, count 20, seconds 60; sid:1000001; rev:1;)